Вредоносный QR-код: сканирование, которое открывает кошелек

Современный мир иногда кажется пазлом из маленьких черных и белых квадратов. Они повсюду: в меню ресторанов, на столбах уличного освещения, на посылках, полученных по почте, и даже на надгробиях на кладбищах. QR-код (код быстрого реагирования), изначально изобретенный для японской автомобильной промышленности, пережил бурное возрождение во время пандемии коронавируса. Он стал главным мостом между физическим миром и цифровым пространством. Но за этим удобством, за быстрым «кликом» и инстинктивным сканированием скрывается одна из самых изощренных и развивающихся угроз в мире цифрового мошенничества: «квишинг» (QR-фишинг).

В предыдущих главах мы рассматривали текстовые сообщения и поддельные электронные письма. Там ловушка обычно видна невооруженным глазом тому, кто знает, что искать, — подозрительный адрес отправителя или искаженный язык. В случае с QR-кодом проблема в том, что человеческий глаз не способен прочитать код. Для нас это лишь случайный графический узор. Мы полностью доверяем своему мобильному телефону, который расшифровывает для нас целевой адрес, и зачастую этот адрес может стать преддверием финансовых потерь.

Следующий сценарий является учебным примером, основанным на распространенных паттернах мошенничества. Персонажи и события предназначены только для иллюстрации.

Ронен, инженер-программист, считался в кругу своей семьи экспертом в области технологий. Именно он настраивает роутеры, устанавливает антивирус своим родителям и предупреждает всех не переходить по подозрительным ссылкам в SMS. Но однажды, после обеда, даже защитные барьеры Ронена подверглись испытанию.

Он торопился на важную встречу в оживленном районе. После долгих поисков он наконец нашел свободное место для парковки. На паркомате была наклеена большая наклейка с символикой местной власти и брендингом, выглядящим официально. «Припарковались? Отсканируйте и оплатите в один клик — без необходимости в приложении», — было написано на ней рядом с заметным QR-кодом.

«Отлично, — подумал Ронен, — сэкономит мне время». Он достал телефон, отсканировал код, и через несколько секунд в браузере открылся сайт, похожий на официальный платежный портал. Цвета были правильными, логотип на месте. Его попросили ввести номер автомобиля и желаемую продолжительность парковки. Он ввел данные кредитной карты, нажал «Подтвердить платеж» и получил сообщение на экране: «Оплата прошла успешно. Приятной парковки».

Ронен отправился на встречу со спокойной душой. Он не знал, что в этом сценарии данные его карты были переданы на внешний сервер. Он также не знал, что наклейку, которую он отсканировал, наклеил на паркомат злоумышленник, закрывший оригинальный код.

Прозрение наступило вечером. Ронен заметил уведомления от компании-эмитента кредитных карт о транзакциях на значительные суммы, совершенных на зарубежных сайтах, о которых он никогда не слышал. Он вошел в банковское приложение и увидел список ожидающих списаний. Он вспомнил тот паркомат и то сканирование, которое казалось таким невинным и удобным.

Когда он обратился в центр обслуживания клиентов компании-эмитента кредитной карты, представитель спросила его: «Передавали ли вы данные карты на каком-либо сайте в последнее время?» «Только на парковке», — ответил Ронен. «В последнее время мы сталкиваемся со множеством подобных случаев, — ответила представитель. — Возможно, вы отсканировали поддельный код».

Анатомия QR-мошенничества: почему это работает?

Чтобы понять, почему QR-код стал эффективным инструментом в руках мошенников, нам нужно понять психологию сканирования. В отличие от текстовой ссылки (URL), где мы можем изучить буквы, QR-код — это «черный ящик». Среднестатистический пользователь не знает, куда его направляют, до тех пор, пока действие уже не совершено.

Эти виды мошенничества обычно используют несколько ключевых факторов:

1. Доверие к физическому расположению

Существует склонность доверять физическим объектам. Если человек видит QR-код, напечатанный на табличке в знакомом учреждении, на столе в ресторане или на официальном платежном терминале, он предполагает, что код принадлежит владельцу заведения. Мысль такова: «Если наклейка здесь, значит, она безопасна». Злоумышленники могут приходить в общественные места и наклеивать вредоносный код поверх легитимного.

2. Обход механизмов цифровой защиты

Системы безопасности электронной почты умеют сканировать ссылки и выявлять известные фишинговые сайты. Однако QR-код — это изображение. Некоторые программы безопасности могут испытывать трудности с «чтением» изображения и анализом скрытой в нем ссылки с той же эффективностью, с которой они сканируют текст, что позволяет сообщению проникать через фильтры безопасности.

3. Ощущение срочности и удобство

QR-коды часто размещаются в местах, где люди торопятся: оплата парковки, сканирование меню или быстрая регистрация. В состоянии спешки критическое мышление может снизиться, и пользователь может отсканировать код, не изучив подробно открывшуюся целевую страницу.

Типы распространенных QR-мошенничеств: руководство по выявлению мин

QR-мошенничества не ограничиваются только наклейками на улице. На протяжении многих лет в ходе профессиональной работы наблюдались разнообразные методы:

Мошенничество «Ожидающая посылка» в версии с QR-кодом

В этом сценарии человек получает физическое письмо в почтовый ящик, которое выглядит так, будто оно было отправлено известной курьерской компанией. В письме говорится, что была предпринята попытка доставки посылки и что для согласования новой даты или оплаты символической комиссии за обработку необходимо отсканировать код. Физическое письмо внушает чувство надежности, а сканирование может привести на фальшивую страницу оплаты.

Мошенничество на станциях зарядки электромобилей

Многие зарядные станции работают путем сканирования QR-кода. Злоумышленники могут наклеивать поддельные коды на станции, ведущие на сайт, где водителя просят ввести данные кредитной карты. В таком случае водитель может потерять данные своей карты, при этом станция так и не будет активирована.

«Специальная скидка» в ресторанах и кафе

На столах в ресторанах может появиться код, обещающий значительную скидку в обмен на регистрацию в клубе клиентов. Сканирование может привести на страницу, запрашивающую личные данные, или к загрузке приложения, которое может содержать вредоносные компоненты, извлекающие информацию с мобильного устройства.

Правовые аспекты: рассмотрение ответственности в случае мошенничества

Когда человек обнаруживает, что его счет был списан после сканирования вредоносного QR-кода, возникает юридический вопрос относительно возможностей возврата средств. В Израиле этот вопрос регулируется Законом о платежных услугах от 2019 года.

Закон предоставляет защиту потребителю в случае «несанкционированной транзакции» с использованием платежного средства. Как правило, если транзакции были совершены без разрешения, ответственность клиента ограничена суммами, установленными законом, и можно рассмотреть требование о возмещении остатка ущерба от платежной организации. Судебное разбирательство часто фокусируется на вопросе, действовал ли клиент с намерением обмануть или вследствие грубой неосторожности.

Вопрос «грубой неосторожности» при сканировании QR-кода

Может быть выдвинут аргумент, что сканирование кода, наклеенного на улице, и ввод данных представляют собой грубую неосторожность. С другой стороны, при юридическом анализе этих случаев можно утверждать, что, когда подделка изощренная, а код размещен в общественном месте, что придает ему презумпцию подлинности, это нельзя считать грубой неосторожностью, отменяющей защиту закона.

Во многих случаях юридический подход склоняется к защите потребителя, поскольку «грубая неосторожность» — это высокая планка, которую должна доказать платежная организация. В обстоятельствах, когда человек стал жертвой изощренного мошенничества, можно рассмотреть шансы на возврат средств в соответствии с обстоятельствами дела.

Ответственность владельца недвижимости или местной власти

Еще один правовой вопрос — ответственность организации, на территории которой или на чьих объектах был наклеен код. Можно рассмотреть, нарушила ли организация, управляющая объектами в общественном пространстве и не предпринимающая действий по удалению вредоносных наклеек в течение долгого времени, свою обязанность соблюдать осторожность. Речь идет о правовых вопросах, которые можно анализировать в соответствии с общим деликтным правом.

Тактика защиты: гигиена сканирования

Можно продолжать пользоваться QR-кодами, принимая меры предосторожности:

1. Физическая проверка

Перед сканированием кода в общественном месте рекомендуется убедиться, что это не наклейка, наклеенная поверх другого кода. Если кажется, что код не является неотъемлемой частью таблички или устройства, стоит воздержаться от его сканирования.

2. Изучение URL-адреса сайта

Большинство устройств показывают предварительный просмотр адреса сайта перед его открытием. Необходимо изучить адрес и убедиться, что он соответствует ожидаемой официальной организации, и что это не сокращенная или подозрительная ссылка.

3. Загрузка приложений только из официальных источников

Рекомендуется избегать загрузки приложений напрямую через QR-код. Лучше искать приложение вручную в официальных магазинах, которые проводят проверки безопасности контента, загружаемого на них.

4. Использование двухфакторной аутентификации (2FA)

Активация двухфакторной аутентификации представляет собой дополнительный уровень защиты. Код подтверждения, отправленный на мобильный телефон, является последним барьером, и его нельзя вводить на сайте, открытом через QR, если только пользователь не инициировал действие на известном и защищенном сайте.

Правовой аспект: резюме по взаимодействию с платежными организациями

В ходе многолетней профессиональной работы всплывает множество случаев пострадавших, испытывающих неловкость. Важно понимать, что речь идет о деятельности изощренных преступных элементов.

С юридической точки зрения следует уделить внимание следующим пунктам:

• Обязанность уведомления: при обнаружении мошенничества необходимо незамедлительно уведомить компанию-эмитента кредитной карты или банк. Раннее уведомление может уменьшить ответственность клиента.
• Изучение права на возврат: в соответствии с законом, в случаях несанкционированного использования существует база, позволяющая требовать возврата сумм транзакций, при условии рассмотрения обстоятельств инцидента платежной организацией.
• Бремя доказывания: бремя доказывания «грубой неосторожности» обычно возлагается на платежную организацию. Одного факта выполнения сканирования недостаточно для обоснования этого довода.

Предупреждающие знаки (Red Flags)

• Код выглядит как наклейка, наклеенная поверх существующей таблички, парковочного автомата или меню.
• Сканирование ведет на страницу, которая требует срочно ввести данные кредитной карты или конфиденциальную личную информацию.
• Адрес сайта не соответствует официальному сайту соответствующей организации.
• Код пришел в рамках неожиданного физического обращения в почтовый ящик.
• Сканирование заставляет устройство запрашивать необычные права доступа к контактам или сообщениям.

Что делать немедленно (экстренные меры)

1. Блокировка платежного средства: немедленное обращение в компанию-эмитент кредитной карты или банк для отмены или заморозки карты, данные которой были раскрыты.
2. Документирование: фотография физического кода и его расположения, а также скриншот открывшегося сайта.
3. Смена паролей: если были введены идентификационные данные, необходимо немедленно сменить пароли в соответствующих учетных записях.
4. Сообщение в органы власти: подача жалобы в полицию Израиля. Это действие необходимо для реализации прав перед платежными организациями.
5. Проверка безопасности устройства: если файл был загружен, рекомендуется выполнить профессиональную проверку мобильного устройства на наличие вредоносного ПО.

Правовой аспект – итог

Закон о платежных услугах от 2019 года является основой защиты прав потребителей в этих случаях. В ситуациях QR-мошенничества можно рассмотреть ограничение ответственности клиента. Поскольку платежные организации иногда могут рассматривать ответственность в узком смысле, рекомендуется в случаях значительного ущерба изучить правовые возможности, имеющиеся в распоряжении потребителя. Технологии меняются, но принципы защиты прав потребителей призваны обеспечить ответ в ситуациях, когда человек пострадал от изощренных мошеннических действий.