Как безопасно пользоваться QR-кодами: простые правила

Сам QR-код безопасен: это просто записанная ссылка, он ничего не запускает на телефоне. Риск появляется после перехода: поддельный сайт может попросить пароль, данные карты или скачать файл. Главное правило — до перехода прочитайте адрес в подсказке камеры и ничего не вводите на незнакомых сайтах.

Откуда берутся риски

QR-код удобен тем, что скрывает длинную ссылку за картинкой. Этим же он неудобен: глазами не видно, куда он ведёт. Мошенники пользуются этим несколькими способами:

• Подмена кода. Поверх настоящего кода на упаковке, плакате или табличке наклеивают свой, который ведёт на похожий сайт.
• Поддельные страницы. Сайт копирует оформление известного сервиса и просит «войти», «подтвердить» или «оплатить».
• Коды в сообщениях. Вам присылают картинку с кодом и просят срочно отсканировать, например чтобы «получить приз» или «разблокировать аккаунт».
• Перехват одноразовых кодов. Если вы опубликовали фото с кодом активации, кто-то может отсканировать его раньше вас.
• Ссылки на файлы. Код ведёт на скачивание приложения или документа из неизвестного источника.

Правило 1. Читайте адрес до перехода

Когда камера распознаёт код, телефон показывает ссылку. Прежде чем нажать, посмотрите на неё:

1. Домен целиком. Совпадает ли он с официальным сайтом бренда? Лишняя буква, дефис, цифра вместо буквы или другая доменная зона — повод остановиться.
2. Короткие ссылки. Если адрес — неизвестный сокращатель, вы не видите, куда попадёте. Будьте особенно внимательны на следующей странице.
3. Начало адреса. Обращайте внимание, открывается ли сайт по защищённому соединению, но помните: это не гарантирует, что сайт честный, — только что соединение зашифровано.

Если сомневаетесь, не переходите по коду, а откройте официальный сайт вручную и найдите нужное там.

Правило 2. Смотрите на сам код и упаковку

Перед сканированием кода на товаре или в общественном месте:

• проверьте, не наклеен ли код поверх другого — края, пузыри, неровная поверхность выдают наклейку;
• на упаковке код обычно напечатан вместе с остальным оформлением, а не приклеен отдельно;
• если защитный слой или плёнка над кодом повреждены, а вы покупали товар запечатанным, — сообщите продавцу.

Правило 3. Не вводите лишнего

Честному сайту за QR-кодом могут понадобиться вход или регистрация — например, чтобы привязать бонус или коллекционный предмет к аккаунту. Но есть данные, которые не стоит вводить никогда по ссылке из кода:

Правило 4. Одноразовые коды — только для вас

Многие коды на товарах одноразовые: они выдают бонус, регистрацию или цифровой предмет первому, кто их активирует. Отсюда простые привычки:

• не публикуйте фото упаковки с открытым кодом в соцсетях и чатах до активации;
• не пересылайте одноразовую ссылку тем, кому не собирались передавать то, что за ней лежит;
• активируйте код сами и сразу, а не «потом»;
• если код оказался уже использован, а упаковка была целой, обратитесь к продавцу.

Правило 5. Не поддавайтесь спешке

Почти все схемы с QR-кодами давят на время: «акция заканчивается через пять минут», «аккаунт будет заблокирован», «приз сгорит». Настоящие сервисы так себя не ведут. Если вас торопят, отложите телефон, откройте официальный сайт сами и проверьте, есть ли там такая акция или уведомление.

Как это устроено в Crypto Sticker

Коды Cryptoscope на товарах партнёров ведут на официальный домен cryptosticker.org. Каждый код уникальный и одноразовый: первый, кто его активирует, получает коллекционный стикер в свою личную коллекцию. Поэтому правила выше здесь работают буквально:

1. Перед переходом проверьте, что в подсказке камеры указан cryptosticker.org.
2. Не публикуйте QR-код и одноразовую ссылку до активации: ими может воспользоваться другой человек.
3. Для получения стикера нужно войти или зарегистрироваться на cryptosticker.org — и только там.
4. После активации ссылка перестаёт действовать, поэтому повторное сканирование уже ничего не выдаст.

Получив стикер, вы можете открыть его страницу-паспорт в реестре и убедиться, что запись существует, а в личной коллекции — что стикер ваш. Как это сделать по шагам, — в статье как проверить цифровой коллекционный предмет. Общие советы по защите аккаунта собраны на странице безопасность, а о том, как устроен сам код, — на странице Cryptoscope.

Если вы уже перешли по подозрительному коду

Без паники: сам переход обычно не опасен. Дальше действуйте так:

• Ничего не вводили. Закройте страницу и очистите вкладки.
• Ввели пароль. Сразу смените его на официальном сайте сервиса и включите дополнительную защиту входа, если она есть.
• Ввели данные карты. Немедленно свяжитесь со своим банком по номеру с карты или из официального приложения банка.
• Скачали файл или приложение. Удалите его и не открывайте.
• Код был на товаре. Сообщите продавцу или производителю, где и как был наклеен подозрительный код.

Короткий чек-лист

• Код — это только ссылка; опасность начинается на сайте.
• Читайте домен до перехода.
• Не вводите пароли от других сервисов и данные карты по ссылке из кода.
• Одноразовые коды не показывайте никому до активации.
• Если торопят — остановитесь и проверьте сами.

Больше о том, что бывает за кодами на товарах, — в статьях как работает QR-код на товаре и что можно получить после сканирования.