QR-код — способ записать данные, а не знак доверия. Он может вести на сайт, открывать платёжную форму или содержать другие инструкции для приложения. Опасность возникает, когда человек выполняет действие, не проверив его назначение.
Где возможна подмена
Проверяйте наклейки на стойках, объявлениях и оборудовании: поверх настоящего кода может быть размещён другой. В электронном письме QR-код иногда используют вместо обычной ссылки, чтобы перенести пользователя на телефон, где адрес менее заметен.
Что проверить после сканирования
- Показывает ли приложение адрес до перехода.
- Совпадает ли домен с ожидаемым сервисом.
- Не требуется ли внезапно пароль от почты или установка программы.
- Совпадает ли получатель платежа с продавцом.
- Верны ли сумма и назначение перед подтверждением.
Не подтверждайте вход или оплату только потому, что код был размещён рядом с логотипом компании. При сомнении откройте официальный сайт самостоятельно или обратитесь к сотруднику через известный контакт.
Что сделать владельцу бизнеса
Ведите список публично размещённых кодов и проверяйте физические носители. Рядом с кодом полезно указывать читаемый адрес и назначение: меню, оплата, запись. Для динамических QR-сервисов контролируйте аккаунт, который может менять конечную ссылку, и срок действия подписки.
Отдельно проверьте вход по QR-коду
Некоторые сервисы предлагают подтвердить вход на другом устройстве сканированием кода. Подтверждайте только тот вход, который начали сами на доверенном компьютере. Код из сообщения якобы службы поддержки может относиться к чужому сеансу. Прочитайте, какое действие показывает приложение: открыть страницу, отправить платёж или разрешить доступ — это разные операции.
Если переход уже произошёл
Зафиксируйте действие: просмотр страницы, ввод данных, разрешение доступа или платёж. Не все переходы означают компрометацию устройства, но введённый пароль уже следует считать раскрытым. При оплате неизвестному получателю сразу свяжитесь с банком. Подозрительную наклейку сначала сфотографируйте и сообщите ответственному за площадку, чтобы он мог проверить другие точки.
Основное правило простое: проверяется не рисунок кода, а действие, которое он предлагает выполнить.
