Отсканировали QR-код на парковке или в ресторане? Как распознать подделку

Вы возвращаетесь к машине, срок действия парковки скоро истекает, а прямо на столбе, где раньше находились инструкции по оплате, наклеен стикер с QR-кодом. Вы сканируете его, загружается страница оплаты, вы вводите номер карты и нажимаете кнопку оплаты. Где-то в припаркованном автомобиле в нескольких кварталах отсюда незнакомец только что увидел, как данные вашей карты попали в таблицу, а срок вашей парковки все еще истек.

Перед сканированием: 10-секундная проверка

Сделайте это до того, как ваш палец коснется кода, а не после. Фальшивый стикер рассчитан на мимолетный взгляд, а не на внимательное изучение, поэтому вся защита заключается в том, чтобы замедлиться на десять секунд.

Эта последняя привычка реально останавливает мошенничество, поскольку полностью исключает стикер из транзакции. Предупреждение Better Business Bureau за июль 2024 года говорит об этом прямо: «Мошенники могут пытаться запутать вас, размещая стикеры с QR-кодами там, где им не место. Они могут даже наклеивать их поверх легитимных QR-кодов».

Рекомендации организации AARP по борьбе с мошенничеством формулируют ту же привычку как «оценивайте источник»: код, напечатанный в выписываемом вами журнале или на сайте, которому вы уже доверяете, представляет собой совершенно иной уровень риска, чем приклеенный на столб или стол, который вы видите впервые. Их гайд за март 2025 года предназначен для широкой аудитории, а не только для путешественников, но лежащая в его основе проверка работает везде: вы сами искали этот код или он появился там, где вы случайно оказались.

Уже нажали кнопку оплаты? Сделайте эти пять вещей прямо сейчас

Если вы уже отсканировали подозрительный код и ввели платежные данные, следующие десять минут важнее всего, что вы прочтете после этого раздела. Выполняйте этот список по порядку.

Это общая рекомендация по безопасности, а не юридический или финансовый совет. Условия споров вашего эмитента карты и местные требования к подаче заявлений могут различаться.

Если на фальшивой странице вас также попросили отсканировать или сфотографировать документ, например водительские права для «проверки» платежа, рассматривайте это как отдельный инцидент, не связанный списанием средств с карты. Наш чек-лист дорожных документов охватывает перечень бумаг, которые нужно заблокировать и защитить заново после любой утечки, в дополнение к шагам по карте и паролям.

Это не гипотетическая угроза: фальшивые стикеры уже нашли в трех городах США

Это уже происходило в нескольких городах США за последние два года - не как разовый розыгрыш, а как организованное размещение стикеров сразу на десятках паркоматов. Каждый случай развивался по одному сценарию: кто-то распечатывал достаточное количество наклеек, чтобы за один обход покрыть парковку целого района, и требовалась волна растерянных водителей или подсказка полиции, прежде чем кто-то замечал подвох. Вот что удалось выявить.

В Редондо-Бич, штат Калифорния, полиция сообщила в августе 2024 года, что мошенники разместили фальшивые QR-стикеры на 150 паркоматах в районах Эспланада и Ривьера-Виллидж, прямо рядом с подлинными наклейками ParkMobile и PayByPhone. Фальшивый код вел на похожий сайт poybyphone.online с отличием всего в одну букву от реального платежного провайдера. Сотрудники полиции сняли стикеры, расследование продолжается; любой, кто отсканировал такой код, может позвонить в полицию Редондо-Бич по номеру (310) 379-2477.

Департамент транспорта Нью-Йорка выпустил общегородское предупреждение в июне 2025 года после того, как по меньшей мере один мошеннический стикер обнаружился на паркомате ParkNYC и перенаправлял на сторонний сайт, запрашивающий номер кредитной карты. Комиссар департамента транспорта Яданис Родригес четко выразился в предупреждении ведомства, о котором сообщил NY1: «Потребители, будьте бдительны: мошенники охотятся за паркоматами, и мы просим вас проявлять осторожность. Если вы видите QR-код на паркомате, не сканируйте его и обязательно сообщите об этом».

В Форт-Лодердейле, штат Флорида, фальшивые стикеры были обнаружены на семи парковках в середине ноября 2024 года, но с нюансом: коды разместили на указателях у автоматов, принимающих монеты, и зарядных станций для электромобилей, а не наклеили прямо на сами паркоматы. Представитель города Кристин Портела рассказала CBS News Miami: «Мы настоятельно призываем всех, кто пользуется городской парковкой, платить только через официальные паркоматы или путем загрузки официального приложения, указанного на официальных городских знаках, а НЕ на стикере». Урок из Форт-Лодердейла заключается в том, что «проверить паркомат» - это еще не все правило. Проверяйте каждую поверхность, на которой есть код, включая близлежащие знаки и платежные киоски.

Если вам нужна более общая картина мошенничества, нацеленного конкретно на людей в поездках, наш региональный разбор туристических афер охватывает уловки, которые чаще всего встречаются на разных континентах.

Ресторанные меню несут в себе такой же риск, даже без громких заголовков в СМИ

Каждое меню с QR-кодом, которое вы сканируете, работает по тому же принципу, что и стикер на паркомате: код, перенаправление и форма запроса информации. Разница в том, что ни один отдельный ресторанный инцидент с указанием даты пока не попал в заголовки газет так, как случаи с парковкой. Это не значит, что риска нет. Это значит, что метод зафиксирован как схема, а не привязан к какому-то одному громкому делу на данный момент, а столик в ресторане может оказаться более легкой мишенью, чем паркомат, поскольку ламинированная карточка стоит намного дешевле, чем автомат, принимающий монеты.

Федеральная торговая комиссия США (FTC) уже описывает подделку QR-кодов как общий тип атак, применимый везде, где код размещен в общественном месте и остается без присмотра, что в равной степени относится как к тейблтент-открытке на ресторанном столике, так и к столбу парковки. Центр рассмотрения жалоб на киберпреступления при ФБР (FBI IC3) отдельно предупреждал об аналогичном векторе - QR-кодах, рассылаемых в незапрошенных посылках, что подтверждает: та же тактика (ловушка со сканированием и перенаправлением) работает через несколько каналов доставки, а не только через паркоматы и почту. QR-код меню, который открывает общую веб-форму с запросом номера карты до того, как вы увидите еду, ведет себя как платежное мошенничество, а не как меню.

Практическое решение такое же, как и на парковке. Если код меню сразу открывает экран оплаты или входа в учетную запись вместо меню, закройте его и попросите персонал предоставить бумажное меню или самостоятельно введите название ресторана в поисковую систему. Если фальшивая страница идет дальше и просит вас «подтвердить» действие через ссылку в текстовом сообщении или подсказку в чате, это перекликается с трюками из нашего руководства о том, как защитить себя от туристических афер с использованием ИИ, где рассказывается, как мошенники используют сочетание срочности и внешне официальной ссылки в текстах и чатах.

Почему этот трюк работает даже на тех, кто считает, что никогда на него не попастся

Распространено мнение, что мошенничество с QR-кодами ловит только тех, кто беспечен или плохо знаком с технологиями. Ближе к истине обратное: афера строится вокруг момента, когда вы спешите и доверяете привычной обстановке, а не вокруг недостатка цифровой грамотности.

Паркомат - это государственная вещь, прикрученная к тротуару. Тейблтент в ресторане вам в руки передает персонал. И то, и другое вызывает презумпцию легитимности, которой никогда не удостоится случайное текстовое сообщение или письмо, и именно поэтому мошенники перенесли атаку в физический мир, а не в ваш почтовый ящик. Вы не оцениваете, стоит ли доверять незнакомцу в сети. Вы реагируете на знакомый предмет в месте, которому уже доверяете, находясь под небольшим давлением времени (истекающее время парковки, голодный желудок), что отбивает охоту присматриваться ближе.

Не нужно подозревать абсолютно все. Сузьте уровень доверия до одной конкретной проверки: совпадает ли адрес назначения с брендом, указанным на вывеске, причем проверить это нужно до ввода любых данных. Эта единственная проверка разоблачает обман независимо от того, насколько убедительно выглядит стикер, потому что мошенник может идеально скопировать логотип, но не сможет сделать так, чтобы poybyphone.online читался как paybyphone.com. Это тот же принцип «до и после», который лежит в основе нашего разбора мошенничества с повреждением арендованных автомобилей, где защитой служит чек-лист, который вы выполняете по порядку, а не общая бдительность, которую нужно поддерживать всю поездку.

Это также объясняет, почему такие случаи продолжают всплывать в туристических местах или зонах высокой проходимости: полоса парковки в Ривьера-Виллидж, парковка рядом с местом проведения мероприятий, ресторан с большим потоком случайных посетителей. Местные жители, которые паркуются на одном и том же месте каждую неделю, с большей вероятностью заметят наклейку, которой вчера здесь не было. Человек, приезжающий впервые, не имеет базы для сравнения, и именно этот пробел призвана устранить данная статья до того, как вы окажетесь на месте.

Как на самом деле заметить поддельный стикер

Фальшивая наклейка с QR-кодом должна физически располагаться поверх настоящей или прямо рядом с ней, и это оставляет следы, которых у легитимного кода никогда не бывает. Воспользуйтесь этой таблицей в следующий раз, когда окажетесь перед таким кодом.

Ни одна из этих проверок не требует приложения или подписки. Они требуют замедлиться на те несколько секунд, которые нужны, чтобы посмотреть на стикер, а не на экран.

Эта же таблица применима и вне паркоматов с ресторанами. Точки проката велосипедов, музейные кассовые киоски, знаки регистрации на мероприятиях и туристические инфостенды используют одинаковые оставляемые без присмотра публичные стикеры или распечатки, и ни у одного из них нет сотрудника, стоящего рядом для выявления замены. Если код появляется там, где вы не ожидали его увидеть, например в виде листовки «сканируйте для получения скидки», приклеенной скотчем к фонарному столбу возле достопримечательности, пропустите его через ту же проверку перед переходом по ссылке.

Во сколько квишинг обходится на самом деле

Специалисты по безопасности называют фишинг с помощью QR-кодов «квишингом», и финансовая и юридическая системы начали отслеживать его как отдельную категорию мошенничества, отдельную от почтового фишинга, из которого он вырос.

Кэтрин Харт из британского Королевского института торговых стандартов описала масштаб индивидуальных потерь для Tech Digest как иной порядок ущерба по сравнению с разовой переплатой за парковку.

Этот разрыв между неудобством и потерей всего - именно то, почему десятисекундная проверка в начале этой статьи окупает затраченные усилия.

Автомобильные парковки продолжают оставаться местом, о котором британские местные органы власти предупреждают чаще всего. Королевский боро Кенсингтон и Челси выпустил собственное предупреждение в январе 2025 года после обнаружения «QR-кодов, наклеенных на знаки оплаты парковки не менее чем в шести точках боро», и перенаправил водителей обратно к приложению PayByPhone, телефонной линии, текстовому сервису или точкам PayPoint. Эта тенденция сохраняется в разных странах: общественные пункты оплаты без присмотра, будь то паркомат или ресторанный столик, - самое простое место для наклеивания стикера без риска быть пойманным.

Индустрия безопасности также отслеживает квишинг как быстро растущую долю фишинга в целом, а не просто как нишевую уловку на парковке. Именно этот рост заставил IC3 ФБР, FTC и BBB выпустить отдельные руководства именно по QR-кодам, а не включать предупреждение в общие советы по фишингу, и этот сигнал стоит воспринимать всерьез даже до оценки любых денежных сумм.

Приложения, создающие персонализированные путеводители по направлениям, такие как TripProf, начали интегрировать этот тип мошеннических схем в специальный раздел «Осведомленность о мошенничестве» в блоке «Чрезвычайные ситуации и безопасность», наряду с контактами посольств и памяткой по безопасности для любого места вашего путешествия. Это не помешает напечатать стикер, но выведет знакомую вам схему перед глазами до того, как вы окажетесь у незнакомого паркомата в стране, где вы не сможете легко проверить доменное имя.

Часто задаваемые вопросы

Главные выводы

Источники

1. CBS News Los Angeles: Полиция Редондо-Бич предупреждает о мошенниках, размещающих фальшивые QR-коды на паркоматах (август 2024 г.)
2. NY1: Рекомендации Департамента транспорта Нью-Йорка по фальшивым QR-кодам на паркоматах (июнь 2025 г.)
3. CBS News Miami: Форт-Лодердейл предупреждает о фальшивых стикерах с QR-кодами на городских парковках (ноябрь 2024 г.)
4. Better Business Bureau: Перепроверяйте QR-код перед оплатой парковки (июль 2024 г.)
5. Рекомендации потребителям от FTC: Мошенники прячут вредоносные ссылки в QR-кодах для кражи информации (декабрь 2023 г.)
6. Центр рассмотрения жалоб на киберпреступления при ФБР: Общественное объявление I-073125-PSA (июль 2025 г.)
7. Tech Digest: В Великобритании наблюдается всплеск квишинга с QR-кодами, сообщает Action Fraud (апрель 2025 г.)
8. Королевский боро Кенсингтон и Челси: Предупреждение водителям о мошенничестве с парковкой по QR-коду (январь 2025 г.)
9. CNBC: Киберпреступность, квишинг и потребительские риски QR-кодов (июль 2025 г.)
10. AARP: Остерегайтесь мошенничества с фальшивыми QR-кодами (обновлено в марте 2025 г.)
11. Горячая линия сети по борьбе с мошенничеством AARP
12. FTC: Сообщить о мошенничестве
13. FTC: IdentityTheft.gov
14. Сервис отслеживания мошенничества BBB