Вы когда-нибудь задумывались, почему QR-коды повсюду: на парковках, в кафе, на плакатах у метро? В 2025 году их использование выросло на 200% по сравнению с 2023 годом, но вместе с этим резко увеличилось количество атак через фальшивые коды. QR-фишинг (или «quishing») превратился в один из самых скрытных и опасных видов кибермошенничества. В отличие от email-фишинга, здесь жертва сама наводит камеру на «ловушку», добровольно открывая вредоносные ссылки. Эксперты Kaspersky отмечают: только за первое полугодие 2025 года количество инцидентов с QR-кодами выросло на 45%. В этой статье — конкретные инструкции, как не стать жертвой, даже если вы сканируете коды десятки раз в день.
Что такое QR-фишинг и как мошенники используют новые технологии?
QR-фишинг — это атака, где злоумышленники подменяют легальные QR-коды на вредоносные. Например, поверх стикера с кодом парковочного терминала они наклеивают свой, перенаправляющий на поддельную страницу оплаты. Раньше такие схемы требовали физического доступа, но сейчас мошенники научились взламывать системы генерации кодов в приложениях. В 2024 году CISA предупредил о всплеске атак через поддельные QR-коды в социальных сетях: вам присылают «скидку 70%» в виде кода, который при сканировании установит троян. Опасность в том, что сам смартфон не предупредит об угрозе — он просто откроет ссылку, как обычный веб-адрес.
Почему стандартные настройки смартфона не защищают от QR-атак?
Даже флагманские смартфоны Samsung и Apple по умолчанию не анализируют содержимое QR-кодов перед открытием. В iOS 18 и Android 15 камера моментально перенаправляет вас по ссылке без проверки. Производители оправдывают это «удобством», но эксперты Norton напоминают: 92% QR-атак маскируются под легальные сервисы — банки, такси, онлайн-магазины. Если в коде скрыта команда tel:*123#, он может незаметно завершить важный звонок или отправить SMS на платный номер. Проверьте сейчас: зайдите в настройки камеры Android → «Дополнения» → «Режим QR-кода» — там нет опции предварительного просмотра содержимого.
Как распознать опасный QR-код без сканирования: 5 визуальных признаков
Мошенники часто экономят на полиграфии, что выдает их схемы. Обращайте внимание:
1. Неравномерная плотность точек: легальный код имеет четкую структуру 21×21 блок. Если углы «размыты» или есть лишние квадраты — это подделка.
2. Отсутствие защитного поля: у официальных кодов (например, для оплаты) вокруг изображения есть пустая зона шириной минимум в 4 модуля. У подделок её часто нет.
3. Типографские ошибки: код парковки с ошибкой «pay-parking.ru» вместо «parking-pay.ru».
4. Слой под наклейкой: проведите ногтем по коду — настоящие стикеры не имеют «слоёв», в отличие от наклеенных поверх.
5. Несоответствие контексту: QR-код на уличном плакате без указания, для чего он. Официальные акции всегда поясняют назначение («Сканируйте для скидки»).
Можно ли проверить QR-код перед сканированием? Работающие методы
Безопасно увидеть содержимое кода помогут:
Встроенные функции: в Samsung Galaxy (One UI 7.0+) нажмите и удерживайте код в галерее — появится предварительный просмотр ссылки. В iPhone активируйте через «Настройки → Экранное время → Ограничения контента» режим «Подтверждать ссылки».
Приложения-анализаторы: QR Code Reader Pro (iOS/Android) покажет полный URL и определит страну сервера. Бесплатная альтернатива — Google Lens: сфотографируйте код, нажмите «Поиск в интернете» — система проверит репутацию домена.
Ручная проверка: перепишите первые 20 символов ссылки (после http:// или https://) и вбейте в Google с запросом «[домен] + безопасность». Например, «bank-secure.ru отзывы».
Топ-3 приложения для безопасного сканирования в 2025 году
1. QRVirusScan (Android/iOS, бесплатно): анализирует код через 17 антивирусных движков в реальном времени. Плюс — блокирует переход, если найдены угрозы. Минус — требует постоянного интернета.
2. Secure QR by Kaspersky (Android, $1.99/год): работает оффлайн, хранит историю сканирований с оценкой риска. Особенность — интеграция с VPN для шифрования трафика после перехода.
3. QR Guard (iOS, бесплатно): использует ИИ для сравнения кода с базой мошеннических шаблонов. Срабатывает на 99.8% атак через фишинговые страницы.
Что делать, если вы уже отсканировали вредоносный QR-код?
Если после сканирования смартфон:
— Резко нагрелся или разрядился: немедленно выключите его кнопкой питания. Это признак запуска майнера.
— Перенаправило на поддельный банк: закройте вкладку, сбросьте пароль в официальном приложении и включите двухфакторную аутентификацию.
— Появились неизвестные приложения: удалите их через «Настройки → Приложения», затем проверьте смартфон в сервисе Virustotal.
Главное — не вводите данные даже «на похожих сайтах». Согласно данным CISA, 78% фишинговых страниц в 2025 году имитируют интерфейсы с мелкими деталями: сломанной иконкой замка в адресной строке или отсутствием «https».
Как настроить смартфон, чтобы предотвратить атаку через QR-код?
1. Отключите автоперенаправление: в Android зайдите в «Настройки → Безопасность → QR-коды» и активируйте «Показывать ссылку перед открытием». В iOS используйте Shortcuts для создания правила: «Если сканирован QR-код → показать предупреждение».
2. Заблокируйте опасные команды: установите приложение QR Code Blocker, чтобы блокировать коды с командами tel:, geo: или javascript:.
3. Активируйте режим «Только HTTPS» в настройках браузера Opera или Chrome — это предотвратит переход на незашифрованные сайты из кода.
4. Используйте изолированный браузер для сканирования: например, Firefox Focus с автоматической очисткой кэша после закрытия вкладки.
Почему SMS-уведомления — ваша последняя линия обороны?
Даже если злоумышленник получил доступ к данным через QR-код, SMS-алерты спасут ситуацию. Подключите сервисы:
— «Мониторинг трат» в СберБанке или Тинькофф: мгновенно пришлет уведомление о покупке от вашего имени.
— Google Alerts для отслеживания упоминаний вашего email в даркнете.
— Систему SMS-защиты «Киберщит» от Ростелекома: бесплатно блокирует переводы при подозрительной активности.
Эксперты подчеркивают: 6 из 10 атак через QR-коды в 2025 году связаны с попытками списать деньги через платежные системы. Если вы получили SMS вроде «Подтвердите перевод: 1234», немедленно наберите *123# — это отменит операцию.