Короткий ответ
По рисунку нельзя понять, безопасен QR-код или нет. Сначала осмотрите, где он размещён, затем прочитайте содержимое без перехода, проверьте полный адрес и только после этого решайте, открывать ли ссылку. Если код предлагает оплату, вход в аккаунт или установку приложения, надёжнее открыть официальный сайт или приложение вручную.
Само распознавание кода штатной камерой обычно не открывает сайт: на iPhone и в Камере от Google после сканирования нужно отдельно нажать на появившуюся ссылку. У сторонних сканеров поведение может отличаться, поэтому лучше использовать камеру телефона или сканер, который сначала показывает результат.
Ни антивирус, ни сервис проверки ссылок не дают стопроцентной гарантии. Новый мошеннический сайт может ещё не попасть в базы предупреждений, а знакомый сайт может быть взломан. Проверка уменьшает риск, но не заменяет здравый смысл и подтверждение через официальный канал.
Проверьте сам QR-код и его источник
Начните не с камеры, а с того, где появился код. Мошенники рассчитывают на автоматическое действие: человек видит привычный квадрат, сканирует его и торопится выполнить просьбу на открывшемся сайте.
- Осмотрите наклейку. Новый стикер поверх старого, неровные края или другой цвет печати могут означать подмену.
- Оцените место. Код на парковочном автомате, счёте, столе кафе или объявлении должен соответствовать понятному действию именно в этом месте.
- Не доверяйте срочности. Сообщения о блокировке аккаунта, недоставленной посылке, штрафе, подарке или возврате денег часто подталкивают к поспешному переходу.
- Проверьте отправителя другим способом. Позвоните по известному номеру или откройте приложение компании самостоятельно, не используя контакты рядом с QR-кодом.
Банк России описывал схемы с кодами в общественных местах, которые вели к обещанию выплат и последующему сбору финансовых данных. Если QR размещён там, где его легко заменить, а рядом нет подтверждения владельца, лучше спросить сотрудника или выбрать другой способ оплаты.
Как прочитать QR-код без перехода по ссылке
- Откройте штатную камеру телефона и наведите её на код.
- Не нажимайте на уведомление сразу. Прочитайте адрес, который показывает камера.
- Если адрес обрезан или плохо виден, сделайте фото либо скриншот и прочитайте код отдельным сканером.
- Скопируйте найденный текст и проверьте его по пунктам ниже.
Сканер QR-кода с картинки показывает полное содержимое и выводит кнопку перехода отдельно. Это помогает увидеть ссылку до открытия, но не подтверждает безопасность сайта, подлинность билета, чека или платёжного кода.
В официальных инструкциях Apple и Google переход также описан как отдельное нажатие на ссылку или баннер после распознавания. Если приложение открывает адрес автоматически, отключите такую настройку или используйте другой сканер.
Как проверить адрес из QR-кода
| Что проверить | Нормальный признак | Причина остановиться |
|---|---|---|
| Название сайта | Точно совпадает с известным адресом организации | Лишняя буква, замена символа или незнакомое окончание |
| Полный адрес | Короткий и понятный путь на ожидаемом сайте | Длинная строка, множество поддоменов, символ @ или смешение алфавитов |
| Протокол | Адрес начинается с https:// | http:// или предупреждение браузера о небезопасном соединении |
| Короткая ссылка | Принадлежит самой компании и объяснена рядом | Неизвестный сокращатель скрывает конечный сайт |
| Действие | Соответствует месту и вашей задаче | Неожиданный вход, платёж, загрузка файла, запрос кода из СМС или разрешения |
В типичном адресе имя организации находится непосредственно перед зоной .ru, .рф или .com. Например, в вымышленном адресе pay.bank.example основной сайт — bank.example. В строке bank.example.login-check.test настоящий сайт — login-check.test, а знакомые слова слева служат приманкой.
Значок защищённого соединения и https:// означают, что данные шифруются по пути к сайту. Они не доказывают, что сайт принадлежит банку, магазину или ведомству. Мошеннический сайт тоже может использовать HTTPS.
Особенно внимательно: оплата, вход и Wi-Fi
QR-код для оплаты
Перед подтверждением сравните название получателя, сумму и назначение платежа с чеком или экраном кассы. Если приложение показывает незнакомого человека или компанию, отмените операцию и уточните реквизиты.
Вход и подтверждение операции
Такой QR может давать доступ к аккаунту, подтверждать вход или разрешать снятие денег. Не сканируйте и не пересылайте код по просьбе «сотрудника банка», поддержки или незнакомого собеседника.
Подключение к Wi-Fi
Проверьте название сети и спросите пароль у сотрудника. Не подключайтесь к похожей сети с тем же названием, если телефон предупреждает об отсутствии защиты или вы не можете подтвердить владельца.
Установка приложения
Не устанавливайте APK-файл, профиль управления или сертификат по ссылке из случайного QR. Найдите приложение по названию в официальном магазине или откройте сайт разработчика вручную.
Отдельно берегите QR-коды, которые создаёт банковское приложение. Банк России предупреждает: некоторые из них фактически служат поручением на выдачу денег без ПИН-кода. Такой код нельзя отправлять посторонним или хранить там, где к изображению получит доступ другой человек.
Признаки опасного сценария
- QR пришёл неожиданно в письме, сообщении или посылке и требует действовать немедленно.
- После перехода сайт просит пароль, данные карты, код из СМС, паспортные сведения или фразу восстановления кошелька.
- Адрес похож на известный, но отличается одной буквой, дефисом, доменной зоной или смешением кириллицы и латиницы.
- Браузер, телефон или антивирус показывает предупреждение, а инструкция предлагает его игнорировать.
- Для получения меню, скидки или доставки требуется скачать файл, установить приложение либо дать доступ к контактам, камере или уведомлениям.
- Платёжное приложение показывает другого получателя, сумму или назначение операции.
Предупреждение браузера — достаточная причина закрыть сайт. Google Safe Browsing, например, отмечает известные фишинговые страницы, вредоносные сайты и опасные загрузки. Отсутствие предупреждения означает только то, что браузер не распознал угрозу в этот момент.
Что делать, если QR-код уже отсканирован
| Что произошло | Что сделать |
|---|---|
| Камера только показала ссылку | Не открывайте её и закройте уведомление. Обычно дополнительных действий не требуется. |
| Сайт открылся, но вы ничего не вводили и не скачивали | Закройте вкладку, не разрешайте уведомления и не возвращайтесь по ссылке. Проверьте загрузки браузера. |
| Вы ввели пароль | Откройте официальный сайт вручную, смените пароль, завершите незнакомые сеансы и включите двухэтапную защиту. Поменяйте такой же пароль в других сервисах. |
| Вы сообщили данные карты или подтвердили перевод | Сразу позвоните в банк по номеру из приложения или с карты, сообщите о мошенничестве и выполните рекомендации банка. |
| Вы установили файл, профиль или приложение | Отключите устройство от сети, удалите установку, проверьте разрешения и запустите встроенную проверку безопасности. Если удалить профиль не получается, обратитесь в поддержку производителя устройства. |
Не звоните по номеру и не пишите в чат, указанные на подозрительной странице. Контакты банка, магазина или ведомства найдите самостоятельно. Чем быстрее вы смените раскрытый пароль или сообщите банку об операции, тем больше возможностей ограничить последствия.
Чек-лист перед переходом
- Код не наклеен поверх другого и размещён в ожидаемом месте.
- Отправитель и причина сканирования вам понятны.
- Полная ссылка показана до открытия.
- Название сайта написано без замен, лишних слов и смешения алфавитов.
- Действие соответствует ситуации: меню ведёт к меню, оплата — к ожидаемому получателю.
- Нет просьбы отключить защиту, скачать неизвестный файл или сообщить секретные данные.
- При сомнении вы открываете официальный сайт или приложение вручную.
Частые вопросы о безопасности QR-кодов
Коротко о сканировании, сокращённых ссылках, HTTPS и платёжных кодах.
Безопасно ли просто навести камеру на QR-код?
В штатной Камере iPhone и Камере от Google после распознавания нужно отдельно нажать на ссылку или баннер. Наведение камеры само по себе обычно не открывает сайт, но сторонний сканер может работать иначе.
Как проверить QR-код, не переходя по ссылке?
Посмотрите адрес в уведомлении камеры или загрузите фото в сканер, который показывает полное содержимое отдельно от кнопки открытия. Затем проверьте домен и ожидаемое действие.
Можно ли доверять QR-коду, если ссылка начинается с HTTPS?
Нет. HTTPS шифрует соединение с сайтом, но не подтверждает личность его владельца. Мошеннический сайт тоже может иметь защищённое соединение.
Что делать с сокращённой ссылкой в QR-коде?
Если сокращатель скрывает конечный адрес, не открывайте ссылку. Найдите официальный сайт или приложение вручную либо уточните код у организации по известному контакту.
Может ли платёжный QR-код быть поддельным?
Да, например если злоумышленник заменил наклейку. Перед подтверждением платежа сравните получателя, сумму и назначение с данными продавца. При несовпадении отмените операцию.
Можно ли отправлять другому человеку QR-код из банковского приложения?
Не отправляйте код, если не понимаете его назначение. Некоторые банковские QR-коды подтверждают вход, перевод или выдачу наличных и фактически дают доступ к операции без ПИН-кода.
