Мошенничество через QR-коды в 2026: как одна ссылка открывает доступ ко всему

В 2020 году QR-коды казались почти милой и очень удобной технологией. Меню в кафе без контакта, оплата парковки, быстрый вход в приложение, авторизация без пароля. Люди сканировали квадратики с ощущением бытового удобства. Маленький пиксельный лабиринт, который экономит пять секунд жизни. Вроде бы удобно, но кажется, мы променяли осторожность на комфорт.

В 2026 году QR-код превратился в один из самых удобных инструментов кибермошенничества. Технология не опасна сама по себе, но опасна человеческая привычка доверять тому, что выглядит «официально» и «цифрово».

Сегодня один QR-код способен:

• украсть доступ к банковскому приложению;
• перехватить Telegram, WhatsApp* или российский мессенджер MAX;
• получить доступ к маркетплейсам;
• увезти аккаунт Госуслуг;
• установить вредоносный APK;
• подключить устройство к фальшивой Wi-Fi сети;
• встроить троян в корпоративную инфраструктуру.

Обычно, мы ждем, что если будет взлом или атака, то все будет вокруг просто кричать об этом. Смартфон погаснет, вместе с черным экраном с черепом и мигающим «YOU HAVE BEEN HACKED». Но не было «вируса», не было подозрительного EXE-файла, вместо этого был обычный QR-код на стойке кофейни или наклейка на парковке. Из последних новинок экран курьера с фразой: «Подтвердите получение». Именно это делает QR-мошенничество настолько опасным, просто он встроен в нашу жизнь и никто не видит саму ссылку.

Почему QR-коды стали идеальным оружием мошенников

Источник для изображения: gettyimages.com

Главная проблема QR-кода в том, что человек не видит цель перехода. Когда приходит ссылка в SMS, мозг еще способен насторожиться:
«bank-secure-login-pay[.]xyz» выглядит подозрительно. QR-код скрывает адрес. Он превращает ссылку в абстрактную картинку. Пользователь сканирует ее почти рефлекторно. Особенно если:

• спешит;
• находится в общественном месте;
• привык к QR-оплате;
• доверяет бренду вокруг;
• видит логотип;
• устал принимать решения.

Исследования по quishing, так называют QR-phishing ( кр-код + фишинг), показывают, что люди куда чаще доверяют QR-кодам, чем обычным ссылкам. В одном из исследований 67% участников без проблем вводили учетные данные после перехода по QR-коду. Это и есть фундамент всей схемы: не взлом технологии, а взлом поведения.

Почему всплеск произошел именно в 2025–2026

Рост буквально взрывной. По данным исследований и телеметрии компаний по кибербезопасности:

• число QR-фишинговых атак выросло более чем на 430% за несколько месяцев 2025 года; 
• Microsoft фиксирует рост quishing-атак на 146% только за первый квартал 2026 года; 
• около 12% всех фишинговых атак уже содержат QR-коды; 
• Palo Alto фиксирует десятки тысяч вредоносных QR-кодов ежедневно. 

Причина проста. Антифишинговые системы научились хорошо распознавать ссылки в письмах, и они автоматически отправляются в спам. QR-код помогает это обходить. Как? Все просто, почтовый фильтр видит картинку, а человек видит «удобный вход». Атака переносится с компьютера на смартфон, где защита слабее. Фактически QR-код стал мостом между защищенной корпоративной средой и личным телефоном пользователя. Для преступников это золотая жила.

Как одна ссылка открывает доступ ко всему? Большинство людей думает: «Ну украдут пароль от одного сервиса. И что?» В реальности современные аккаунты связаны между собой как нервная система. Самый частый сценарий: пользователь сам подтверждает вход, думая, что «это проверка безопасности». Именно поэтому многие жертвы до последнего уверены: «Меня не взломали. Я сам что-то нажал». В этом и состоит схема. Современный фишинг почти никогда не ломает систему напрямую, он убеждает человека открыть дверь самостоятельно.

Как развивается QR-мошенничество: атака по минутам

Главная сила QR-мошенничества не в технологиях. Она в бытовом автоматизме. Человек не воспринимает сканирование QR-кода как действие риска. Это выглядит слишком привычно. Мозг не включает защиту. Именно поэтому QR-фишинг оказался настолько эффективным против молодых и цифрово активных людей. Они совершают десятки таких действий каждую неделю и перестают анализировать происходящее.

Как выглядит цепочка компрометации аккаунтов

QR-код
   ↓
Фальшивый сайт
   ↓
Кража логина
   ↓
Подтверждение SMS/push
   ↓
Захват почты
   ↓
Восстановление сервисов
   ↓
Telegram / MAX / WhatsApp*
   ↓
Банк / Госуслуги / маркетплейсы
   ↓
Финансовый ущерб

В 2026 году цифровая жизнь человека слишком централизована. Один смартфон хранит: банк, документы, рабочие аккаунты, облако, Госуслу, мессенджеры, маркетплейсы, почту. Проблема не в одном украденном пароле. Проблема в связности экосистемы. Когда злоумышленник получает контроль над почтой или мессенджером, начинается эффект домино. Один сервис открывает другой. Потом третий. Потом весь цифровой профиль человека буквально рассыпается за полчаса.

Где жертва обычно понимает, что уже поздно

Большинство людей теряют драгоценное время, потому что не верят, что проблема началась именно после QR-кода. Им кажется это совпадение/наверное вирус/телефон заглючил/банк ошибся». Но в реальности компрометация уже идет полным ходом. В кейсах Getscam встречались ситуации, где между сканированием QR-кода и попыткой оформить микрозайм проходило менее 40 минут. Скорость современной атаки уже сопоставима со скоростью автоматизированных банковских систем. Только с другой стороны экрана сидит не банк, а группа людей, которая профессионально ворует цифровые личности. Такой вот рынок услуг XXI века.

Какие сферы атакуют чаще всего

Общепит

Самая уязвимая среда там, где QR-код уже стал нормой. Рестораны и кофейни входят в топ риска. Меню по QR-коду люди открывают автоматически. Никто не проверяет URL, никто не анализирует домен. Посетитель голоден, шумно, официант торопит, мозг работает в режиме бытового автопилота. Конечно, такое трудно представить в элитных заведениях. Там за этим строго следят, камеры, 20 официантов и один квадратный метр, управляющий. Никто не будет рисковать репутацией, клиентами с большим чеком из-за ошибок персонала, но никто не застрахован.

Мошенники:

• переклеивают QR-наклейки;
• ведут на фейковые меню;
• показывают страницу «подтвердите вход через Google/Telegram»;
• крадут аккаунты.

В практике сервиса Getscam встречались кейсы, где QR-коды в заведениях вели на копии страниц доставки еды. Пользователь «авторизовывался» через мессенджер, а через несколько минут терял доступ к Telegram и маркетплейсам. Потому что большинство людей используют одинаковые номера, одинаковые почты и одинаковые шаблоны восстановления. Одна компрометация запускает цепную реакцию.

Парковки и транспорт

Это уже классика quishing. Фальшивый QR-код клеится поверх настоящего:

• на паркомат;
• зарядную станцию;
• автобусную остановку;
• терминал оплаты.

Человек пытается оплатить парковку. Вместо этого вводит данные карты, подтверждает SMS, отдает мошенникам платежную информацию. В Великобритании количество подобных случаев резко выросло, а отдельные жертвы теряли десятки тысяч фунтов после дальнейшей социальной инженерии.

Доставка и маркетплейсы

Тут схема особенно токсичная. Пользователь получает:

• «Подтвердите адрес доставки»;
• «Перепроверьте пункт выдачи»;
• «Оплатите перевес»;
• «Подтвердите получение QR-кодом».

После сканирования открывается поддельная форма Wildberries или фейковый Ozon. Существует, кстати говоря, копия СДЭК с поддельным кабинетом курьерской службы. Дальше классика: логин, пароль, SMS, пуш-подтверждение. Потом начинается вынос: карты, бонусы, рассрочки, заказы, перепродажа аккаунта.

Бьюти и сервис

Эта сфера недооценена. Салоны красоты, барбершопы, частные мастера:

• запись через QR;
• чаевые через QR;
• визитки через QR;
• акции через QR.

Аудитория здесь привыкла к мобильным платежам и Instagram-инфраструктуре. Значит, выше вероятность импульсивного сканирования. Особенно часто атакуют через скидка постоянному клиенту, получите подарок, подтвердите запись. Второе особенно частотно встречается, лично видел много раз, как присылают купон на скидку, или переводят по другой ссылке крути колесо фортуны…

Корпоративный сектор и IT

Здесь атаки уже профессиональные, это логично. Для того, что обмануть программиста нужно постараться и придумать что-то эдакое, но и ущерб гораздо значительнее.

Сотрудник получает письмо: «Для входа в защищенный портал отсканируйте QR».

QR ведет:

• на поддельный Microsoft 365;
• сервисы обхода блокировок с помощью смены геолокации;
• Okta;
• корпоративную почту.

ФБР уже предупреждало о подобных схемах. Особенность в том, что сотрудник сканирует код личным смартфоном, корпоративная защита остается слепой. Особенно опасны гибридные атаки: офлайн QR - онлайн-фишинг - потом социальная инженерия по телефону. Именно так сегодня часто работают схемы вокруг Госуслуг, маркетплейсов, банков, Telegram, MAX.

Кто становится жертвой чаще всего

Источник для изображения: gettyimages.com

По данным Банка России, в 2025 году с кибермошенничеством столкнулись 29% опрошенных россиян. Регулятор отдельно отметил рост атак через фишинговые ссылки, вредоносные QR-коды и мобильное ПО.

Вот здесь многие ошибаются в образе жертвы. Люди представляют типичную жертву как пенсионера, который «не понимает технологии». Но quishing работает иначе. QR-мошенничество чаще бьет по тем, кто уже привык к цифровой среде и много пользуется смартфоном. Такой человек не боится технологий и поэтому делает действия автоматически. Это скорей всего будут миллениалы, Gen Z, студенты, офисные сотрудники, жители мегаполисов. Парадоксально, но пожилые люди иногда осторожнее. Они могут просто не доверять QR-коду, а вот 24-летний человек в мегаполисе сканирует десятки кодов в неделю:

• меню;
• доставка;
• метро;
• самокат;
• оплата;
• чаевые;
• вход в приложение.

Поведение становится механическим, именно поэтому исследования показывают высокую уязвимость молодых пользователей. Исследования показывают, что Gen Z взаимодействует с фишинговыми атаками чаще других поколений. В некоторых опросах до 62% молодых пользователей признавались, что хотя бы раз взаимодействовали с фишинговыми сообщениями. И это логично, человек 22 лет оплачивает кофе QR-кодом, арендует самокат QR-кодом, получает меню QR-кодом, входит в сервис QR-кодом, авторизуется через Telegram* и т.д. У него исчезает ощущение риска.

Где QR-мошенничество растет быстрее всего

Полной глобальной карты пока нет, но есть устойчивые региональные закономерности.

По данным РИА Томск, в Сибири количество атак с поддельными QR-кодами выросло в 1,4 раза, а по России в целом в 1,6 раза. При этом Банк России фиксирует колоссальный рост самого QR-потребления:

• почти 990 миллионов QR-платежей только за квартал;
• более 1,3 триллиона рублей оборота;
• рост на 25% за несколько месяцев. 

А теперь важный момент, чем чаще люди используют QR-коды в обычной жизни, тем слабее психологическая защита. Это почти как эффект привычки к шуму, мозг перестает анализировать объект как потенциально опасный. 

Почему мегаполисы страдают сильнее? Москва, Петербург, Франкфурт, Берлин, Лондон, Дубай. Все предельно просто, чем цифровее город, тем выше риск. Причины в том, что больше QR-инфраструктуры, выше скорость жизни, меньше времени на проверку, больше бесконтактных сервисов, привычка к мобильным платежам. Житель мегаполиса сканирует код на автомате. Для него это не событие, это бытовой жест. В малонаселенной местности человек еще может спросить: «А зачем вообще этот квадрат?». Иронично, но цифровая адаптация делает человека уязвимее.

Как выглядят реальные атаки в 2026

Источник для изображения: gettyimages.com

Кейс: «Подтвердите адрес доставки»

Внутри Getscam мы c коллегами заметили одну интересную вещь еще в конце 2025 года. Люди почти перестали воспринимать доставку как потенциальную точку риска. Курьеры, QR-коды, уведомления, маркетплейсы, бесконечные «подтвердите получение» настолько встроились в повседневность, что мозг отключает осторожность автоматически. Человек действует быстрее, чем успевает подумать.

Один из самых показательных случаев начался абсолютно буднично.

Мужчина из Москвы, 29 лет. Работал в IT, пользовался двумя маркетплейсами практически ежедневно, много заказывал технику и бытовые мелочи. Не пенсионер, не «доверчивый новичок», а человек, который был уверен, что прекрасно понимает, как устроено мошенничество в Интернете. Утром ему пришло сообщение якобы от службы доставки. Не грубый спам, а аккуратное уведомление с номером заказа, логотипом и фразой о том, что курьер не смог подтвердить адрес. Внутри был QR-код «для быстрой корректировки доставки».

Он отсканировал его буквально на ходу, пока спускался в лифте. Никакого «взлома» в привычном смысле не произошло. Не было установки программы или вируса. Открылась страница, очень похожая на мобильный интерфейс маркетплейса. Пользователь ввел номер телефона, получил SMS, подтвердил вход и закрыл вкладку. Через десять минут у него вылетел Telegram*.

Сначала он не придал этому значения. Решил, что обычный сбой, потом начали приходить уведомления о попытках входа в почту. Потом в Госуслуги. Потом начали оформляться покупки через маркетплейс с привязанной постоплатой.

Когда специалисты Getscam разбирали эту атаку, выяснилось, что работал не один человек, а целая инфраструктура. После ввода данных токены сессий автоматически распределялись между разными сервисами. Пока пользователь ехал в метро и думал, что доставка просто «заглючила», его цифровую личность уже раскладывали по отдельным сегментам:

• почта,
• маркетплейсы,
• мессенджеры,
• восстановление аккаунтов.

Самое тяжелое в таких историях даже не деньги. А то, насколько жертва до последнего не чувствует момент вторжения. Человек не понимает, где именно он потерял контроль. Именно это я считаю главным эволюционным скачком мошенничества последних лет. Раньше преступнику нужно было ломать систему, а теперь достаточно встроиться в бытовую привычку человека.

Кейс: QR-код и захват Госуслуг

Есть отдельная категория атак, после которых люди неделями пытаются восстановить ощущение безопасности. Потому что когда злоумышленник получает доступ к Госуслугам, человек вдруг понимает, насколько огромный кусок его жизни давно лежит внутри одного аккаунта.

В одном из кейсов Getscam женщина из Казани получила уведомление о необходимости подтвердить запись в МФЦ. Ничего экзотического, в России люди уже привыкли, что половина взаимодействий с государством проходит через QR-коды, SMS и подтверждения. Сообщение выглядело пугающе нормально. Именно так я бы это описал. Не «слишком подозрительно», не «явный фишинг», а наоборот. Слишком чисто. Герб, официальный стиль, правильная терминология, интерфейс, похожий на Госуслуги почти до пикселя.

Она открыла страницу, ввела номер телефона, подтвердила код. На этом этапе большинство жертв уверены, что просто проходят стандартную процедуру идентификации. В этом и проблема современного QR-фишинга: он маскируется не под что-то необычное, а под максимально рутинное действие.

Дальше события развивались очень быстро. Сначала злоумышленники закрепились в аккаунте. Потом начали менять резервные контакты. Затем пошли запросы на финансовые сервисы и попытки оформления микрозаймов. Позже, уже при анализе схемы, выяснилось, что использовался перехват сессии. Технически женщина действительно входила в настоящий аккаунт. Но между ней и сервисом находился промежуточный слой, который забирал токен авторизации. Это психологически очень важный момент. Потому что многие жертвы потом говорят:

«Я никому не передавала пароль».
«Я ничего не скачивала».
«Я просто вошла на сайт».

И они формально правы. Современное мошенничество все реже выглядит как насильственный взлом. Оно больше похоже на подмену реальности на несколько минут. Человека аккуратно проводят по коридору привычных действий, а потом он внезапно обнаруживает, что уже не контролирует собственную цифровую жизнь.

Кейс: корпоративный QR-вход

Корпоративные атаки через QR-коды сейчас вызывают у специалистов отдельную тревогу. Потому что они бьют туда, где компании долго выстраивали защиту, а потом внезапно оказалось, что сотрудник просто достает личный телефон и сам открывает дверь изнутри. В одном из случаев сотрудник IT-компании получил утром письмо о необходимости повторной авторизации Microsoft 365. Обычная история для корпоративной среды. Постоянные проверки, VPN, обновления доступа, MFA. Люди настолько к этому привыкли, что перестают анализировать подобные запросы.

В письме был QR-код. Не ссылка. Именно QR. Это важно, потому что корпоративные фильтры и защита уже неплохо умеют работать с подозрительными URL. Но QR-код переносит атаку на личный смартфон сотрудника, который находится вне корпоративного контура безопасности. Он отсканировал код по пути на встречу. Открылся интерфейс входа Microsoft, ввел данные, подтвердил push-уведомление и… пошел дальше работать. Через двадцать минут злоумышленники уже сидели в корпоративной почте. Настроили переадресацию писем, начали внутреннюю рассылку и выгрузку документов.

Самое странное в анализе этого кейса было даже не само проникновение. А то, что часть систем безопасности не увидела ничего аномального. Для инфраструктуры это выглядело как обычный вход сотрудника. MFA был подтвержден, устройство выглядело доверенным, поведение казалось легитимным. И вот здесь становится особенно заметно, как меняется сама философия кибермошенничества.

Раньше атака ассоциировалась с техническим преодолением защиты. Сейчас преступник все чаще вообще не атакует систему напрямую. Он атакует человеческое поведение. И, честно говоря, именно эта тенденция кажется мне самой опасной, потому что люди устают, привыкают к бесконечным подтверждениям. А мошенники научились выглядеть частью нормальной цифровой среды.

Что особенно тревожит специалистов по кибербезопасности

Источник для изображения: gettyimages.com

Есть три вещи, которые нас беспокоят. Первая: quishing отлично обходит классическую защиту. Вторая: мошенники массово используют одноразовые домены. Иногда сайт создается в тот же день, что и QR-код. Третья: атаки становятся физическими. Раньше фишинг жил в Интернете, теперь он приходит в офлайн: наклейка на стене, меню, паркомат, столик, афиша, терминал. Цифровое мошенничество буквально вторглось в городской ландшафт. 

Как защититься

Не существует универсального решения, которое на 100 % защитит от подобных атак. Но выработать правильные привычки вполне реально — и это значительно снизит риски. Главное правило: никогда не считайте QR‑код «безопасной картинкой». По сути, это просто скрытая ссылка — а значит, к ней нужно относиться с той же осторожностью, что и к любым другим ссылкам в интернете.

Вот что действительно помогает:

1. Проверяйте URL после сканирования. Прежде чем переходить по ссылке, убедитесь, что адрес сайта выглядит корректно и принадлежит той организации, от имени которой действует QR‑код.
2. Не используйте QR‑коды для входа в важные сервисы. Даже если код размещён в месте, которое кажется надёжным, лучше зайти в аккаунт вручную.
3. Не вводите банковские данные после сканирования случайного QR‑кода. Это касается любых платёжных операций, которые не были запланированы заранее.
4. Используйте отдельную почту для критически важных аккаунтов. Если у вас есть отдельный адрес электронной почты для банковских и других чувствительных сервисов, риск компрометации снижается.
5. Включайте многофакторную аутентификацию (MFA). Это дополнительный слой защиты: даже если злоумышленники получат доступ к паролю, им будет сложнее войти в аккаунт.
6. Не храните все данные в одном устройстве без защиты. Разделяйте информацию между разными устройствами или используйте надёжное шифрование.
7. Не подтверждайте пуш‑уведомления автоматически. Прежде чем нажать «Подтвердить», убедитесь, что запрос легитимный.
8. Регулярно обновляйте операционную систему и приложения на смартфоне. Обновления часто содержат исправления уязвимостей, которыми могут воспользоваться мошенники.
9. Не устанавливайте APK‑файлы после сканирования QR‑кода. Загрузка приложений из неофициальных источников — высокий риск заражения устройства вредоносным ПО.

И самое важное: если QR‑код вызывает ощущение спешки, срочности или давления («Только сейчас!», «Осталось 2 минуты!»), — это тревожный сигнал. Большинство современных фишинговых атак строятся именно на том, чтобы заставить жертву действовать быстро, не задумываясь. Остановитесь, перепроверьте информацию — и только потом принимайте решение.

Выводы

Источник для изображения: gettyimages.com

Парадокс нашего времени: подозрительные ссылки вызывают настороженность, а QR‑коды — нет, хотя оба варианта могут вести на мошеннические ресурсы. Из средства упрощения повседневных задач QR‑код всё чаще становится каналом социальной инженерии. Уязвимость возникает не из‑за сложных хакерских схем, а из‑за обычной человеческой привычки: в кафе, на улице или в транспорте мы автоматически сканируем код, думая, что это сэкономит время. Именно эта автоматичность и играет на руку злоумышленникам.

Пока же главная защита — осознанность. Прежде чем достать телефон и навести камеру на код, стоит задать себе вопрос: «Откуда этот код? Кому он принадлежит? Действительно ли я ожидаю такой переход?».

*Запрещены или ограничены на территории РФ

❗️ Материал носит исключительно информационный характер и не является юридической консультацией.

Частые вопросы

Что такое мошенничество с QR‑кодами?

Это способ обмана, при котором злоумышленники размещают поддельные QR‑коды в общественных местах. При сканировании они перенаправляют пользователя на фишинговые сайты, выманивают личные данные или деньги, либо заражают устройство вредоносным ПО.

Чем опасен QR‑код? Разве это не просто картинка?

QR‑код — это закодированная ссылка. Она может вести куда угодно: на легитимный сайт или на мошенническую страницу. Опасность в том, что визуально код не показывает, куда именно он ведёт.

Влияет ли тип смартфона на риск мошенничества с QR‑кодами?

Нет. Уязвимы все устройства — и Android, и iOS. Разница лишь в наличии встроенных средств защиты: некоторые модели предлагают проверку ссылок перед переходом.