QR-код: безопасно ли сканировать незнакомый

Вы сидите в кафе, на столике наклейка с QR-кодом и подписью «меню здесь». Камера телефона уже наведена, осталось нажать на всплывшую ссылку. Безопасно ли это? Смотря что скрывается за кодом: сам квадрат с чёрными квадратиками ничего не гарантирует, он просто хранит текст или ссылку.

Прежде чем сканировать, полезно задать себе один вопрос: куда именно я сейчас перехожу и откуда взялся этот код. Ответ на него важнее, чем сама камера телефона.

За кодом может быть ссылка, оплата или установка

QR-код это способ закодировать данные в виде картинки, чтобы камера могла их быстро прочитать. Внутри может быть обычный адрес сайта, данные для перевода, номер телефона или ссылка на установку приложения. Камера просто распознаёт рисунок и не оценивает, что скрывается за ним.

Поэтому формулировка «QR-код безопасно ли сканировать» не совсем точная. Опасность скрывается в том, что происходит после перехода: откроется ли страница входа в аккаунт, предложит ли код установить файл, попросит ли ввести данные карты. Итоговое решение принимает человек, который видит результат на экране.

Представьте созвон с коллегой, который присылает QR вместо обычной ссылки на встречу «чтобы было удобнее». Удобство здесь не аргумент: ссылку в виде текста так же легко проверить глазами, а код приходится сканировать вслепую.

Поддельная наклейка выглядит как настоящая

Отдельная причина насторожённости: бумажную наклейку с кодом легко напечатать и приклеить поверх настоящей. На афише, в меню или на объявлении о парковке это не редкость, и внешне подмена ничем не отличается от оригинала. Сам материал и качество печати не подсказывают, кто разместил код последним.

Проверка адреса до перехода, а не после

Главный защитный шаг прост: посмотреть, куда ведёт код, прежде чем открывать страницу целиком. Некоторые приложения-камеры и сканеры показывают короткое превью адреса над кнопкой перехода, прежде чем страница откроется. Если в этом окне видно не домен известного сервиса, а странный набор символов или адрес с ошибкой в названии, переход стоит отменить.

Это не отличается от обычной проверки ссылки, которую можно прислать текстом в Telegram или по почте. Подробнее о том, как отличить настоящий контакт от подставного, разобрано в статье «Вам пишет поддержка»: как проверить незнакомый контакт в Telegram.

Если QR предлагает установить приложение, стоит на секунду остановиться и спросить себя, откуда взялся этот файл и зачем ему запрошенные разрешения. Этот вопрос подробно разобран в статье «Приложение просит доступ: пять вопросов перед нажатием «Разрешить»».

Проверка за минуту перед сканированием незнакомого кода

Привычка проверять код перед переходом занимает меньше минуты и экономит куда больше времени потом.

• Посмотрите на само наклейку: нет ли следов второго слоя бумаги или клея поверх печати.
• Прочитайте превью адреса в камере до перехода, если приложение его показывает.
• Сверьте домен с тем, что ожидаете увидеть: опечатка в названии сервиса частый признак подмены.
• Если код предлагает оплату, проверьте сумму и получателя на экране подтверждения, прежде чем нажимать «Оплатить».
• Если код предлагает установить файл, закройте страницу и найдите приложение через официальный магазин самостоятельно.

Выбирайте действие по тому, что предлагает код

Сам квадрат с чёрными точками не бывает ни опасным, ни безопасным сам по себе, важно то, что он открывает. Ссылка на знакомый сайт с привычным адресом не требует паники. Запрос на оплату, установку или ввод пароля требует паузы и внимательного взгляда на адрес.

QR-код не защищает от фишинга и не подтверждает подлинность отправителя сам по себе, этим занимается уже проверка адреса и здравый скепсис к незнакомым просьбам. У Бабая к наклейкам «обновите меню здесь» поверх старого меню отдельные вопросы. Если ситуация на бумаге выглядит странно, разумнее набрать адрес вручную или спросить у персонала, какой код настоящий.