«Квишинг»: мошенничество с QR-кодами и ссылками в SMS

«Квишинг»: мошенничество с QR-кодами и ссылками в SMS

Вы сканируете QR-код, и телефон сразу открывает сайт. Вы не читали адрес, ничего не набирали и не решали, куда идти: QR решил за вас. Именно этим удобством пользуется квишинг (QR + фишинг): QR-коды и короткие ссылки скрывают, куда ведут, и приводят на поддельные сайты, где у вас крадут данные или деньги.

Квишинг — не отдельная от смишинга техника: это тот же обман, что поддельные SMS о «неоплаченном штрафе» или задержанной посылке, только ссылка спрятана лучше. В SMS подозрительный домен ещё можно разглядеть, если присмотреться; QR не показывает ничего, пока вы его не отсканируете.

Где появляются поддельные QR

• Платные парковки. Наклейка с поддельным QR поверх настоящего кода оператора парковки или платёжного приложения. Вы сканируете, попадаете на сайт, похожий на страницу оплаты парковки, и вводите данные карточки.
• Меню кафе и ресторанов. QR, наклеенный поверх оригинала. Цель обычно — установить вам поддельное приложение или под любым предлогом завести на фишинговый сайт.
• «Штрафы» под дворником. Поддельные извещения о штрафе с QR «для быстрой оплаты». Та же наживка, что и поддельные SMS о штрафе, только на бумаге.
• Посылки и доставка. QR на наклейках или в SMS («отсканируйте, чтобы перенести доставку») — разновидность посылочного мошенничества.
• Письма и SMS с QR. Сообщение просит отсканировать QR вместо того, чтобы нажать на ссылку, иногда под предлогом «двухэтапной проверки» или «безопасности». Так мошенники ещё и обходят фильтры, которые проверяют ссылки, но не картинки.
• Криптовалюта и платежи. QR якобы с адресом получателя или «возвратом средств». Отправленные деньги вернуть уже не получится.

Правило: смотрите адрес, прежде чем переходить

Адрес обычной ссылки можно прочитать до нажатия. У QR — нет, поэтому этот шаг придётся добавить вручную:

1. Отсканируйте, но пока не переходите. Большинство телефонов показывает полный адрес до открытия. Это момент решения: прочитайте его целиком и без спешки.
2. Проверьте домен. Это должен быть официальный домен сервиса — без лишних дефисов и странных окончаний. Если QR на парковке ведёт на домен, который не принадлежит оператору парковки или официальному приложению, это подделка.
3. Если что-то не сходится, не переходите: идите в официальный канал сами. Откройте официальное приложение парковки, банка или магазина и сделайте всё там. Это тот же способ, которым мы советуем проверять звонки и SMS от банка.
4. Не доверяйте QR, которые торопят. «Сканируйте сейчас», «последнее предупреждение», «посылку вернут сегодня». Срочность — подпись мошенничества, что в QR, что в SMS.

И практический совет для QR на улице: посмотрите, нет ли одной наклейки поверх другой. Если QR на парковке напечатан на наклейке, которая выглядит приклеенной позже, или закрывает собой другой код, не пользуйтесь им. Платите из официального приложения, которое уже установлено у вас.

Что делать, если вы уже отсканировали и ввели данные

• Ввели данные карточки на сайте: сразу позвоните в банк, заблокируйте карточку и закажите новую. Следите за списаниями в ближайшие недели.
• Скачали приложение по QR: удалите его, проверьте телефон антивирусом и посмотрите, какие разрешения вы ему дали (доступ к SMS, специальные возможности и уведомления — самые опасные).
• Только отсканировали и закрыли: почти наверняка ничего не случилось. Само сканирование ничего не устанавливает и данных не передаёт; риск начинается, когда вы что-то делаете на сайте.
• Сообщите о поддельном сайте в CERT.BY через форму «Сообщить об инциденте». Если вы потеряли деньги, подайте заявление в милицию и приложите фото QR (если он был на улице — фото наклейки и места, где она висела) и скриншоты сайта.
• Если QR пришёл по SMS или во время звонка, сообщите о номере в каталоге спам-номеров.

Быстрые вопросы

Может ли сканирование QR взломать телефон? Само сканирование — нет: QR содержит только текст (обычно адрес сайта). Опасность — в сайте, куда он ведёт, и в том, что вы там делаете: вводите данные, скачиваете файлы, выдаёте разрешения. Поэтому защита — проверить адрес до перехода.

Короткие ссылки (bit.ly и подобные) — это то же самое? Проблема та же: они скрывают, куда ведут. Добросовестные сервисы сокращения ссылок позволяют посмотреть адрес заранее (у многих — если добавить «+» в конце ссылки), но практическое правило не меняется: если вы не знаете, куда ведёт ссылка, а вас торопят нажать, не нажимайте и идите в официальный канал сами.

Может ли банк прислать настоящий QR? Да, например чтобы подключить приложение или подтвердить операцию, — но только в процессе, который начали ВЫ. QR от банка, пришедший без вашего запроса, подчиняется общему правилу: не пользуйтесь им, а сами откройте официальное приложение.

Как защитить от этого пожилого человека? Одной фразой: «Не плати ничего по QR с улицы — пользуйся приложением, которое у тебя уже есть». Другие советы, которые стоит пересказать близким, — в блоге NoCall.

Итог укладывается в одну строку: QR — это ссылка, которую нельзя прочитать, поэтому прочитайте её до перехода. Отсканируйте, посмотрите адрес и, если это не официальный домен, закройте и идите в официальный канал сами. Эта секунда паузы обезвреживает весь квишинг.