Не сканируйте без проверки: как преступники меняют QR‑коды на кассах

Оплата по QR‑коду стала привычной: навёл камеру, нажал «Оплатить» - и покупка прошла за секунду. Ни карты, ни пин‑кода, ни лишних движений. Торговые сети ещё и мотивируют: дают скидки и бонусы за СБП. Но именно эта простота и скорость стали приманкой для мошенников: они научились незаметно подменять QR‑коды на кассах, чтобы забирать деньги себе. Разберём, как устроены эти схемы, почему они опаснее обычной кражи и что делать, чтобы не потерять средства - даже если вы просто покупаете хлеб.

Как работает QR‑фишинг: анатомия обмана на кассе

Наклейки‑накладки поверх статических QR‑кодов (статический фрод). Это самый массовый способ: злоумышленники приходят как обычные покупатели и наклеивают поверх официального QR‑кода свою прозрачную наклейку с идентичным дизайном. Покупатель сканирует код, деньги уходят мошенникам, касса показывает ошибку. Продавец просит оплатить ещё раз, клиент платит второй раз картой - и даже не понимает, что первая транзакция была кражей.

Подмена динамического QR‑кода на экране терминала (динамический фрод). Более технологичная схема: хакеры заражают компьютер кассира или сам POS‑терминал. Когда терминал формирует динамический QR‑код для вашей покупки, вредоносный скрипт мгновенно меняет платёжную ссылку внутри кода. На экране сумма правильная, а деньги уходят на счёт преступников.

Автопривязка счёта через фишинговый шлюз. При оплате по QR часто предлагают галочку «Запомнить банк для быстрых покупок» (C2B‑инвойсинг). Если вы подтвердите это на поддельном платеже, мошенники получают право в будущем списывать деньги без СМС‑подтверждений - через СБП как будто от имени магазина.

Получается, что опасность - не только в разовой потере суммы чека, но и в том, что вы сами можете дать преступникам «ключ» к автоматическим списаниям.

Почему QR‑фишинг особенно коварен

Иллюзия легитимности. Вы сканируете код на кассе магазина, видите сумму покупки, интерфейс банка выглядит как обычно. Мозг не воспринимает ситуацию как угрозу.

Высокая скорость принятия решения. На кассе мы торопимся, смотрим на сумму, а не на реквизиты. Этой доли секунды достаточно, чтобы нажать «Оплатить».

Сложности с оспариванием. Если платёж ушёл частному лицу по СБП, вернуть деньги сложно: СБП технически не предусматривает автоматический чарджбэк, как по карте.

Риск долгосрочных списаний. Автопривязка через фишинг может открыть мошенникам доступ к будущим списаниям без дополнительного подтверждения.

Где чаще всего попадаются: типичные сценарии риска

Кассы самообслуживания с напечатанными QR-кодами. Именно там проще всего наклеить фальшивую наклейку.

Терминалы с динамическими QR-кодами на дисплеях. Если в торговой точке слабая киберзащита кассовой инфраструктуры, возможна подмена ссылки.

Оплата в новых или временных точках (ярмарки, фудкорты, пункты выдачи): там контроль над размещением QR‑кодов слабее.

«Двойная оплата» из-за ошибки на кассе. Покупатель не замечает, что первый платёж ушёл мошенникам, а второй - магазину.

Как безопасно платить по QR-коду

1.Всегда проверяйте получателя перед подтверждением. На экране подтверждения в мобильном банке должно быть официальное название магазина или ИП (например, ООО «Магазин», ИП Иванов И.И.). Если там указано ФИО частного лица - это стопроцентный признак мошенничества. Не нажимайте «Оплатить».

2.Осматривайте и ощупывайте физические QR‑коды. Если код напечатан на стойке или плашке возле кассы, проведите по нему пальцем. Если чувствуете стык, края наклейки или скотч - не сканируйте. Попросите кассира провести оплату картой через терминал.

3.Не подтверждайте автопривязку счёта на незнакомых или подозрительных платежах. Галочка «Запомнить банк» удобна, но если вы поставите её на фишинговом шлюзе, это даст мошенникам право на будущие списания.

4.Держите основной капитал на накопительном счёте‑буфере. Не храните крупные суммы на дебетовой карте, к которой подключена СБП. Переводите на карту ровно столько, сколько нужно для покупки. Даже при инциденте ущерб будет ограничен.

5.Используйте СБП через приложение банка, а не через сторонние сканеры. Некоторые люди сканируют QR‑коды не в банковском приложении, а через «универсальные» сканеры в телефоне. В этом случае вы не видите деталей платежа до перехода в банк - риск выше.

6.Регулярно проверяйте активные автоплатежи и C2B-подписки. В банковском приложении можно посмотреть, какие магазины и сервисы имеют право на списания через СБП. Лишние привязки удаляйте сразу.

Важные нюансы, которые легко упустить

Сумма в чеке не гарантирует безопасность. Даже если в QR‑коде правильная сумма, ссылка внутри него может вести на счёт мошенника. Решающий фактор - получатель.

Динамический QR на экране терминала тоже может быть подменён. Не полагайтесь на «официальность» экрана: проверяйте реквизиты.

СБП не работает как чарджбэк по карте. Если деньги ушли частному лицу, вернуть их через банк почти невозможно: платёж считается добровольным.

QR‑коды в новых точках - повышенный риск. В временных локациях контроль над размещением кодов слабее, а наклейки поставить проще.

Галочка «Запомнить» - это юридически значимое согласие. По сути, вы даёте магазину (или тому, кто выдаёт себя за него) право на будущие операции.

QR-код на кассе - это не просто «удобный способ заплатить», а полноценное распоряжение банку списать деньги. И относиться к нему нужно как к подписи на платёжном поручении: внимательно читать, что подписываете. Проверка получателя, осмотр кода, отказ от автопривязки на подозрительных платежах, буферный накопительный счёт и оплата строго через банковское приложение - этого достаточно, чтобы сохранить удобство СБП и при этом держать бюджет под контролем. Так вы сможете спокойно пользоваться быстрыми платежами, не рискуя превратить секундный взгляд на QR‑код в потерю денег и долгие разбирательства.