Техника с наклейкой
Метод обезоруживающе прост. Преступник заходит в ресторан, замечает подставки с QR-кодами на столах или у входа и наклеивает поверх свежеотпечатанную наклейку: со своим собственным QR-кодом. Вся операция занимает менее тридцати секунд на один стол.
Открывающаяся поддельная страница, почти безупречная копия страницы заказа или оплаты: те же логотипы, те же фирменные цвета, порой даже название ресторана. Посетитель, уверенный, что просматривает сегодняшнее меню, вводит данные своей банковской карты на мошенническом сайте.
Этот приём встречается не только в ресторанах: Cybermalveillance.gouv.fr, французская государственная платформа помощи жертвам киберпреступлений, также предупреждает о поддельных QR-кодах, наклеенных на паркоматы и зарядные станции для электромобилей.
Рестораны, переходящие на цифровые меню без физической защиты (гравированные QR-коды, запираемые держатели), становятся первоочередными целями. Наиболее уязвимы небольшие заведения, которые сами печатают свои подставки на обычной бумаге.
Как распознать подделку
Перед сканированием осмотрите QR-код физически. Поддельные наклейки часто немного смещены, их края перекрывают друг друга, а качество печати отличается от остальных материалов ресторана.
Используйте сканер QR-кодов, который показывает полный URL перед открытием ссылки. Штатное приложение «Камера» на iOS и встроенные сканеры Android обычно отображают URL, не поленитесь его прочитать. Злоумышленники прибегают к тайпсквоттингу: «carte-restaurant-lyon.com» вместо официального сайта заведения.
Будьте особенно осторожны, если открывшаяся страница запрашивает данные банковской карты лишь для того, чтобы показать меню. Ни один добросовестный ресторан не закрывает доступ к меню за платёжной формой.
Если сомневаетесь, попросите сотрудника напрямую показать вам меню или QR-код из его административного интерфейса: а не тот, что наклеен на подставке на столе.
Что делает Trasimène
В Trasimène есть сканер QR-кодов. Каждую ссылку, считанную этим сканером, наши серверы проверяют до её открытия: по спискам фишинговых и вредоносных сайтов, которые ведёт Trasimène, по Google Safe Browsing и по конечному адресу возможных перенаправлений.
Если ссылка признана опасной, она не открывается: появляется предупреждение, и вы сами решаете, открывать её или нет. Дата регистрации домена, если она известна, показывается, чтобы помочь вам с оценкой, но в вердикте не учитывается.
Эта проверка выполняется в сканере приложения: откройте его, прежде чем навести камеру на QR-код. QR-код, считанный камерой телефона, не проверяется. Если включён дополнительный VPN Trasimène, он постфактум распознаёт посещение сайта, уже внесённого в наши списки, и сообщает вам о нём в приложении. Сам он страницу не блокирует: известные ему вредоносные домены со своей стороны отсеивает только Quad9, швейцарский сервис, которому VPN поручает разрешение имён.
Бдительность по-прежнему остаётся первой линией обороны. Беглый взгляд перед сканированием, чтение URL перед вводом данных, лишний вопрос при малейшем сомнении: этих простых привычек достаточно, чтобы свести на нет подавляющее большинство атак через QR-коды. А с подходящим приложением для безопасности нет никаких причин не автоматизировать эти шаги.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Защититесь от фишинга через QR-коды