QR-код — это просто URL, который человек не может прочитать глазами. Именно поэтому злоумышленники так его любят: почтовые фильтры проверяют ссылки в тексте, но не всегда распознают картинку.