Квішинг: QR-генератори — головні цілі фішингу

Саме це перетворює аргумент у цьому матеріалі з думки на доказ. Квішинг — фішинг через QR-код — працює, тому що надрукований квадрат неможливо прочитати неозброєним оком. Але він *масштабується*, бо легальні компанії протягом десятиліття привчали людей до того, що сканувати незнайомий короткий домен — нормально.

Телеметрія Unit 42 за лютий 2026 року в середньому фіксує понад 11 000 виявлень шкідливих QR-кодів щодня. Трафік через скорочувачі QR-кодів зріс на 55% із першої половини 2023 року до першої половини 2024-го, а потім ще на 44% — до першої половини 2025 року. І ФБР, і FTC опублікували попередження: Центр розгляду скарг на інтернет-злочини опублікував PSA 220118 про злочинців, які змінюють коди, щоб викрадати кошти й облікові дані, а в липні 2025 року доповнив його матеріалом про неочікувані посилки з QR-кодами. FTC також попередила, що шахраї наклеюють власні наліпки поверх справжніх кодів, окремо згадавши паркомати.

Чому QR-код неможливо перевірити до сканування?

Людей, і часто успішно, навчили перевіряти посилання перед натисканням: навести курсор, прочитати домен, пошукати помилку в написанні. Цей захист залежить від можливості побачити URL.

QR-код обходить його. Адреса призначення закодована в узорі, який людина не може розшифрувати неозброєним оком. Навести курсор неможливо. Ви наводите камеру на квадрат — і щось відкривається або ні. Єдиний можливий момент для захисту — попередній перегляд, який спочатку показують деякі сканери. Але на маленькому екрані й у поспіху це обрізаний рядок, який більшість людей не читає.

Як виглядають основні атаки?

NCSC прямо зазначає: не всі засоби безпеки сканують зображення, тому QR-код, що веде на шкідливий сайт, може пройти крізь фільтри, які виявили б те саме посилання в тексті. До того ж користувачі зазвичай сканують код особистим телефоном, який не має захисту керованого роботодавцем пристрою. На нашій сторінці про QR-коди Wi-Fi пояснюється цей формат даних; знання про його вигляд дає змогу перевірити код.

Як перенаправлення знищили останній захист?

Уявімо, що кожна легальна компанія використовує статичні коди, у яких закодовано її власний домен. У попередньому перегляді було б видно restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Це впізнавано. Тоді попередній перегляд x7q-cdn.click/8Hf2 одразу здавався б неправильним, адже відрізнявся б від усіх легальних кодів, які ця людина коли-небудь сканувала.

Але ми живемо не в такому світі. Величезна кількість легальних кодів — від ресторанів, магазинів, музеїв і транспортних агентств до державних установ — веде через сторонні короткі домени, які нічого не означають для людини, що сканує код. Наслідок прямий: незнайомий домен у попередньому перегляді QR-коду більше нічого не сигналізує. Людей сотні разів привчали не зважати на нього — і це не завдавало шкоди.

Unit 42 прямо формулює результат: «Навіть люди, які дбають про безпеку й перевіряють попередній перегляд URL перед скануванням, не можуть визначити кінцеву адресу, якщо бачать скорочене посилання». Індустрія перенаправлень не винайшла квішинг. Вона прибрала єдиний евристичний захист, який мали звичайні люди, — механізм описано в матеріалі про перехоплення перенаправлень.

Три вторинні наслідки

• Маскування. Перенаправлення може показувати різні адреси різним відвідувачам — безпечний вміст досліднику, а справжнє корисне навантаження — телефону в потрібному місті. Статичний код так не може: його вміст фіксований і однаковий для всіх.
• Відкладена активація. Код може тижнями вести на нешкідливу сторінку, пройти перевірку, а потім бути зміненим. Це та сама можливість редагування, яку індустрія продає як перевагу.
• Відмивання репутації. Відомий домен скорочувача надає легітимності всьому, на що він перенаправляє.

Як захиститися під час сканування?

1. Прочитайте домен у попередньому перегляді. Якщо ваш сканер його не показує, використовуйте той, що показує. NCSC радить сканер, вбудований у телефон, а не застосунок із магазину.
2. Вважайте ворожим будь-який код у неочікуваному листі чи електронному повідомленні. Легальним організаціям рідко потрібно, щоб ви сканували надрукований квадрат для вирішення термінової проблеми з обліковим записом — саме про це йдеться в обох наведених вище попередженнях ФБР.
3. Перевіряйте наліпки фізично. Відклейте край. Наліпка поверх наліпки — найпоширеніша схема квішингу, і її можна виявити пальцями.
4. Ніколи не вводьте платіжні дані на сторінці, яку відкрили скануванням. Перейдіть до сервісу самостійно: введіть адресу або відкрийте застосунок.
5. Якщо сумніваєтеся, розшифруйте код замість сканування. Сфотографуйте код і прочитайте його вміст на нашій сторінці декодування, нічого не відкриваючи.

Що робити, якщо ви вже просканували шкідливий код?

Саме сканування майже ніколи не зламує телефон. Важливо те, що сталося далі, тож дійте залежно від цього.

1. Якщо ви лише переглянули сторінку й закрили її, найімовірніше, усе гаразд. Запишіть домен на випадок, якщо потрібно буде повідомити про нього, і продовжуйте свої справи.
2. Якщо ви ввели пароль, негайно змініть його на справжньому сайті, а також усюди, де використовували цей пароль повторно. Заодно ввімкніть багатофакторну автентифікацію.
3. Якщо ви ввели дані картки, негайно зателефонуйте в банк або заблокуйте картку в банківському застосунку, перш ніж перевіряти щось інше. Повідомте про шахрайську сторінку, а не про оскаржену покупку.
4. Якщо ви щось установили, видаліть це, а потім перевірте дозволи застосунку та надані йому права адміністратора пристрою або спеціальні можливості. У більшості випадків на мобільних пристроях саме ці дозволи є корисним навантаженням.
5. Якщо ви підключилися до Wi-Fi мережі через код, забудьте цю мережу й вважайте, що все надіслане через неї під час підключення могло бути доступним для перегляду.
6. Повідомте про інцидент. У США ФБР приймає повідомлення через IC3, а FTC — скарги споживачів; у Великій Британії звертайтеся до Action Fraud. Якщо код був наліпкою на громадській інфраструктурі, повідомте також власника поверхні — паркувальна служба не може прибрати накладений код, про який не знає.

Єдиного, чого не варто робити: вважати, що ви самі винні, бо просканували код. ФБР і FTC опублікували попередження саме тому, що за задумом ці коди неможливо відрізнити від легітимних.

Як бізнесу захистити своїх клієнтів?

Якщо ви друкуєте QR-коди, від вашого вибору залежить, чи зможуть ваші клієнти взагалі захиститися.

1. Використовуйте статичні коди з вашим власним доменом. Тоді в попередньому перегляді буде видно вашу назву — єдиний доступний під час сканування сигнал для перевірки. Це найефективніша зміна, яку ви можете зробити.
2. Друкуйте URL читабельним текстом поруч із кодом. Це дає людям спосіб перейти без сканування і щось для порівняння.
3. Регулярно перевіряйте фізичні коди. Наліпки поверх кодів працюють лише доти, доки ніхто не перевіряє їх.
4. Ніколи не перенаправляйте клієнтів через домен, який не містить вашої назви. Це привчає їх вважати непрозорі адреси нормальними й не дає вам змоги пояснити, як має виглядати ваш легітимний код.

Тут є корисний збіг інтересів: вибір, який захищає вас від утримання через підписку, так само захищає ваших клієнтів від фішингу.

Створіть статичний код, у попередньому перегляді якого видно ваш власний домен: QR-код для URL. Додатково: правда про шахрайство з QR-кодами.