QR-фишинг: как работает «квишинг» и как не попасться

QR-код — это просто URL, который человек не может прочитать глазами. Именно поэтому злоумышленники так его любят: почтовые фильтры проверяют ссылки в тексте, но не всегда распознают картинку.

Типичные сценарии

1. Письмо «обновите MFA» с QR-кодом вместо ссылки. Код ведёт на поддельную страницу входа.
2. Наклейка поверх настоящего кода на паркомате или в кафе.
3. PDF-вложение с кодом — обходит часть сканеров вложений.

Как защититься

• Перед переходом смотрите на домен, который показывает камера телефона. Попробуйте на коде ниже: камера должна показать ghcp.in — этот самый сайт.
• Не вводите пароль на странице, открытой из QR-кода. Лучше открыть сервис вручную.
• Используйте ключи FIDO2 / passkeys: их нельзя «отдать» фишинговому сайту.

Рис. 1. Безобидный QR-код: ведёт на эту статью. Перед переходом проверьте, какой домен показывает камера.

Правило простое: QR-код — это ссылка от незнакомца. Относитесь к нему так же.