QR-код и безопасность

Почему QR-код — это не защита

Формат QR-кода открытый: сгенерировать такой же код может любой человек в любом конструкторе. В коде нет подписи, сертификата или проверки «свой-чужой». Для сканера все коды равны.

Это удобно — именно поэтому формат стал массовым — но это значит, что код — лишь картинка с адресом. Безопасность кода — это безопасность того, что на него нанесено и куда он ведёт.

То есть мыслить надо как о ссылке: QR-код — это ссылка, просто напечатанная. Всё, что мы привыкли проверять в письмах и мессенджерах, относится и к кодам.

Фишинг через коды

Атака простая: злоумышленник печатает код, ведущий на фальшивую страницу, и наклеивает его там, где жертва ждёт оригинальный код. Или рассылает код в письме от имени банка.

Куда подсовывают такие коды:

• Парковочные автоматы и терминалы оплаты поверх родной наклейки.
• Таблички в кафе с предложением оставить чаевые.
• Стены и столбы: «отсканируй и узнай штраф».
• Письма и объявления «о блокировке счёта».

Целью всегда бывает одно: чтобы вы ввели данные на фальшивой странице — пароль, данные карты, код из СМС. Один переход по ссылке денег не стоит. Стоит — то, что вы сделаете на открывшейся странице.

Чек-лист перед переходом

Четыре правила, которые закрывают почти весь риск:

• Смотрите на адрес в панели перед тапом. Камера показывает его перед открытием — это и есть момент проверки.
• Узнавайте домен. bank.ru, gosuslugi.ru, домен знакомого кафе. Длинный набор букв на чужом сервере — повод не переходить.
• Не вводите данные на странице, на которую вас привёл код с улицы. Банк не просит ввести пароль по ссылке с флаера.
• Камерой телефона, а не приложением из рекламы: системный сканер не подставит свой адрес.

Этого достаточно: сканирование и переход ничего не стоят. Всё решает то, что вы вводите на открывшейся странице.

Как заметить наклейку поверх кода

Подделку чаще всего выдают физические признаки. Осмотрите код перед сканированием:

• Новая наклейка на старом стенде: клей по краям, другие пропорции кода, свежая бумага.
• Код стал крупнее или мельче таблички, стоит криво.
• Две наклейки рядом — оригинальная и вторая поверх.
• Код закрывает часть дизайна: логотип заведения переклеен.

А после сканирования сверяйте адрес. Знакомое кафе должно вести на свой домен, а не на безымянный сервис.

Если сомневаетесь — поищите тот же адрес на официальном сайте или в приложении заведения.

Опасны ли приложения-сканеры

Сканер, встроенный в систему телефона, читает код и показывает то, что в нём записано. Стороннее приложение между кодом и браузером — это промежуточное звено, и оно может заменить адрес.

Поэтому: системной камеры достаточно для 99% случаев. Если ставите приложение-сканер, ставьте его из основного магазина и от разработчика, которому доверяете.

Альтернатива для сомнительного кода — онлайн-декодер: он покажет содержимое кода как текст, и вы сами решите, переходить по ссылке или нет.

Как защитить свой код

Если код ваш — задача в том, чтобы подмену было дорого или заметно:

• Ламинация и защитная плёнка: переклеить код поверх плёнки сложно, след останется.
• Код в дизайне таблички: код, напечатанный типографией на пластике, не снять лезвием, как наклейку.
• Короткая ссылка: короткий домен клиенту легко запомнить и он его узнает.
• Динамический код: если целевой адрес кто-то подменит на вашей стороне, его можно изменить, не перепечатывая код.
• Периодическая проверка: раз в неделю отсканируйте свои таблички и убедитесь, что они ведут туда, куда должны.

Главный совет — дублируйте: если код ведёт на страницу оплаты, напишите адрес текстом рядом с кодом.

Мифы о защите кодов

Нескольких вещей, которых не существует:

• «Пароль на QR-код». Не существует: код — открытый. Пароль ставится на странице, на которую он ведёт.
• «Зашифрованный код». Зашифровать можно, но расшифрует его только тот, у кого есть ключ, — для публики это бесполезно.
• «Код сам проверяет подлинность». Нет. Это по-прежнему просто картинка с адресом.
• «Одноразовый код». Бывают ссылки-одноразовки, но сам код остаётся многоразовым.

Единственная настоящая защита — привычки того, кто сканирует: посмотрел адрес, убедился, что домен знакомый, и только потом ввёл данные.