QR-код на самокате, парковке и в подъезде: как подменяют и как проверить

Наклейку с QR-кодом можно приклеить поверх настоящей за две секунды. Где подменяют коды, как за пять секунд проверить адрес до того, как вводить карту, и что делать, если уже заплатил.

QR-код — это просто ссылка, нарисованная квадратиками. Человек её прочитать не может, поэтому верит на слово: раз висит на паркомате — значит, от паркомата.

Мошенники это прекрасно понимают. Напечатать наклейку стоит копейки, приклеить поверх настоящей — две секунды. Дальше ты сканируешь, попадаешь на аккуратную страничку «оплата парковки», вводишь карту — и платишь вовсе не за парковку.

Где подменяют

• Паркоматы и стоянки. Классика: наклейка поверх наклейки, а на странице «оплатите парковку» просят данные карты.
• Самокаты и велосипеды. Код «для разблокировки» ведёт не в приложение сервиса, а на сайт, который просит карту или предлагает «скачать приложение» в обход магазина.
• Подъезды и почтовые ящики. Объявление «у вас задолженность за свет/воду, оплатите по QR, иначе отключим». Иногда — поверх настоящей квитанции.
• Письма и сообщения. «Подтвердите аккаунт, отсканировав код». Код в письме — это способ спрятать ссылку от фильтров почты: картинку они читают хуже, чем текст.
• Меню в кафе, объявления, листовки. Реже, но бывает.

Пять секунд на проверку

Почти любая камера телефона после сканирования показывает адрес до того, как его открыть. Остановись на этом месте и прочитай его.

1. Смотри на имя сайта — то, что до первой косой черты /. Всё, что после, — не важно, там можно написать что угодно, хоть «gosuslugi-oficialnyj».
2. Читай имя справа налево. Важны последние две части: в pay.zmnx.ru хозяин — zmnx.ru. А в zmnx.ru.oplata-online.top хозяин — oplata-online.top, и к нам он отношения не имеет.
3. Сокращённая ссылка — повод насторожиться. Короткий адрес из десятка случайных букв прячет, куда ты попадёшь. Настоящий паркомат обычно не стесняется своего имени.
4. Потрогай наклейку. Серьёзно. Если один код наклеен поверх другого, отходит уголок или наклейка выглядит новее всего вокруг — не сканируй.

Подробнее о том, как читать адреса и что в них прячут, — в статье «Одна ссылка — много слов».

Как платить, чтобы было не важно, что на наклейке

Самое надёжное — вообще не доверять коду там, где есть альтернатива:

• Парковка, самокат, такси — открывай приложение сервиса, которое у тебя уже стоит, или его сайт, набранный руками. Номер парковочной зоны написан на табличке и вводится в приложении.
• Коммуналка — через приложение банка или Госуслуги по реквизитам из твоей настоящей квитанции. Объявлению в подъезде — ноль доверия, даже если оно с гербом.
• Код в письме — не сканируй вообще. Зайди на сайт сам, через закладку или набрав адрес.

Чего не делать

• Не устанавливай приложения по ссылке из QR. Приложения — только из магазина приложений. Файл, скачанный «в обход», может делать с телефоном что угодно.
• Не вводи данные карты на странице, куда попал по коду с улицы. Даже если она выглядит прилично. Тем более — код из СМС: у оплаты парковки нет причин спрашивать его у тебя голосом или в чате.
• Не входи по коду в аккаунты — банк, почту, Госуслуги. Это уже не оплата, а сбор паролей.

ИнКа: Есть одна безопасная причина сканировать незнакомый QR: посмотреть, куда он ведёт, и не переходить. Любопытство — пожалуйста. Карту — нет.

Если уже заплатил

1. Позвони в банк по номеру с карты и скажи, что операция мошенническая. Попроси заблокировать карту и оформить заявление о несогласии с операцией. Чем быстрее, тем лучше. Подробно — в статье «Перевёл деньги мошенникам».
2. Если вводил пароль от чего-то — смени его там и везде, где он повторялся. По шагам — «Нажал на ссылку или открыл вложение».
3. Сфотографируй наклейку и расскажи хозяину места — парковке, управляющей компании, сервису самокатов. Подменённый код снимут, и следующий человек не попадётся.