Поддельные QR-коды вокруг нас

Наклейки на парковочных автоматах, коды в письмах и на посылках, меню и афиши: о чём сообщают полиция и ведомства, и на что смотреть перед оплатой.

Verdetto · 2026-09-06

QR-код дёшево напечатать и невозможно прочитать глазами, поэтому это удобное место, чтобы спрятать ссылку; приём часто называют квишингом. Схемы ниже описаны полицейскими управлениями и ведомствами по защите потребителей; защита у всех одна: увидеть адрес до того, как он откроется, и платить или входить через приложение или сайт, которому вы уже доверяете.

Наклейки на парковочных автоматах

3 сентября 2026 года Федеральная торговая комиссия США призвала водителей не сканировать код на парковочном автомате, не прочитав адрес, который он открывает, после того как мошенники заклеили настоящие коды своими. Схема не нова: в конце 2021 и начале 2022 года полиция Сан-Антонио и транспортный департамент Остина в Техасе предупреждали, что на автоматах обоих городов появились наклейки с мошенническими QR-кодами, в Остине на 29 из примерно 900, уводившие водителей на поддельные страницы оплаты по адресу, похожему на адрес настоящего оператора. Настоящий автомат печатает свои инструкции и принимает оплату через приложение города или сам аппарат; наклейка поверх напечатанного кода — и есть признак.

Коды в письмах и на посылках

Фишинговые письма несут QR-коды, потому что картинка проскакивает мимо фильтров, читающих ссылки. Код ведёт на страницу входа, имитирующую банк, почтовый сервис или службу доставки. Федеральная торговая комиссия опубликовала предупреждение об этой схеме в декабре 2023 года, а Центр приёма жалоб на интернет-преступления ФБР выпустил публичное предупреждение о подменённых QR-кодах в январе 2022 года. Код на посылке, которую вы не заказывали, или уведомление о «неудавшейся доставке» с кодом для переноса — та же семья.

Меню, листовки и афиши

Код на меню или листовке заменяется наклейкой за секунды. Страница, которую он открывает, может выглядеть как настоящая и просить карту. Везде, где код просит деньги или пароль, вопрос не в том, правильно ли выглядит страница, а в том, тот ли это адрес, которого вы ждали.

На что смотреть

Адрес целиком: paypa1 — не paypal, а знакомое имя не на своём месте (paypal.com.example.net) — не знакомый сайт.
Наклейка поверх напечатанного кода.
Короткая ссылка там, где компания напечатала бы свою.
Страница, которая сразу после сканирования просит пароль или карту.
Если сомневаетесь, закройте и откройте сервис из его собственного приложения.

Verdetto показывает адрес целиком до того, как что-либо откроется, помечает похожие имена, прослеживает короткие ссылки до цели при включённых онлайн-запросах и сверяет адрес со списком предупреждений на телефоне. Он никогда не говорит, что код безопасен; он говорит, что проверил и что нашёл.

Нашли такой код? Страница сообщений принимает ссылку, и каждое сообщение проверяет человек.

Источники

По теме: Как проверить ссылку из QR-кода · Почему не просто камера?