Шахрайські QR-коди: як захистити гроші, акаунти та клієнтів

QR-коди давно стали звичною частиною нашого життя. Ними оплачують паркування та покупки, відкривають меню, отримують квитки, переходять на сайти, підключаються до Wi-Fi або залишають відгуки.

Сам QR-код не є небезпечним. Це лише спосіб передати посилання, платіжні реквізити або іншу інформацію. Проблема виникає, коли справжній код підміняють або шахрайський QR-код надсилають під виглядом звичайного документа, рахунку чи повідомлення.

Кіберполіція України попереджає про випадки підміни QR-кодів у громадських місцях. Шахраї можуть наклеїти власний код поверх справжнього або розмістити його там, де люди звикли швидко сканувати код і переходити до оплати. (Кіберполіція)

Але сьогодні це лише один із варіантів шахрайства.

Як шахраї використовують QR-коди

1. Підміняють QR-код у магазині або громадському місці

На платіжній табличці, меню, рекламному плакаті, паркоматі або іншому носії поверх справжнього QR-коду можуть наклеїти інший.

Після сканування людина потрапляє на підроблений сайт, який може майже не відрізнятися від справжнього. Там її просять ввести реквізити картки, пароль або інші дані.

Візуально відрізнити добре зроблений шахрайський QR-код від справжнього практично неможливо.

2. Підміняють QR-код для оплати

Для магазину це окрема небезпека.

QR-код може містити платіжні реквізити продавця. Якщо шахрай замінить такий код своїм, покупець може бути впевнений, що платить магазину, хоча гроші насправді підуть на інший рахунок.

Тому перед підтвердженням платежу важливо перевіряти в банківському застосунку одержувача, реквізити та суму платежу.

В Україні QR-коди офіційно використовуються і для передавання банківських реквізитів торговця. (Національний банк України)

3. Надсилають QR-код у листі або PDF

Цей вид шахрайства називають QR-фішингом, або quishing.

Лист може виглядати як звичайне робоче повідомлення:

• рахунок або підтвердження платежу;

• документ для підписання;

• повідомлення від банку;

• доставка;

• необхідність підтвердити обліковий запис;

• зміна пароля або налаштувань доступу.

Замість звичайного посилання в лист або PDF вставляють QR-код. Працівник сканує його телефоном і потрапляє на підроблену сторінку Microsoft, Google, банку чи іншого знайомого сервісу.

Цей спосіб особливо зручний для шахраїв: посилання приховане всередині зображення, а людина переходить із робочого комп'ютера на телефон, де адресу сайту помітити складніше.

За даними Microsoft Threat Intelligence, у першому кварталі 2026 року кількість QR-фішингових атак зросла на 146%, а більшість таких QR-кодів поширювалася саме через PDF-файли.

4. Пропонують встановити застосунок

QR-код також може вести на сторінку із пропозицією встановити програму або надати телефону певні дозволи.

Не встановлюйте застосунки за випадковими QR-кодами. Якщо потрібна програма банку, служби доставки чи іншого сервісу, знайдіть її самостійно в офіційному магазині застосунків.

Де варто бути особливо уважними

Для покупця найбільший ризик виникає там, де QR-код потрібно відсканувати швидко й без зайвих перевірок: під час оплати, паркування, у транспорті, на заходах, у закладах харчування або під час благодійних зборів.

Для підприємця до цього списку варто додати робочу електронну пошту, рахунки від постачальників, документи у PDF та повідомлення про доступ до корпоративних сервісів.

Шахраї розраховують саме на автоматичну реакцію: побачив знайомий логотип або стандартний документ — відсканував — виконав запропоновану дію.

Як безпечно користуватися QR-кодами

1. Перевіряйте фізичний код. Якщо на табличці видно додаткову наклейку, нерівні краї, сліди переклеювання або інші зміни — не скануйте його.
2. Дивіться, куди веде QR-код. Перед відкриттям більшість телефонів показує адресу. Перевіряйте саме домен, а не логотип чи оформлення сторінки.
3. Особливо обережно ставтеся до авторизації. Якщо QR-код несподівано просить увійти до Microsoft 365, Google, банку, пошти або іншого важливого сервісу, краще самостійно відкрити офіційний застосунок або набрати відому адресу сайту.
4. Перевіряйте одержувача платежу. Перед підтвердженням оплати переконайтеся, що гроші надходять потрібній компанії або ФОП.
5. Не повідомляйте коди підтвердження іншим людям. Код із SMS або банківського застосунку може використовуватися для підтвердження вашої власної операції, але його не потрібно диктувати «працівнику банку», продавцю, службі підтримки чи іншій людині.
6. Не встановлюйте застосунки за випадковими QR-кодами. Для цього використовуйте офіційні магазини застосунків.

Що варто зробити власнику магазину

QR-коди в магазині потрібно захищати так само, як інші елементи платіжної інфраструктури.

Перевірте всі коди, які бачить покупець: для оплати, меню, Wi-Fi, програми лояльності, відгуків, акцій, соціальних мереж та інших сервісів.

Для QR-кодів, які використовуються постійно:

• розміщуйте поруч зрозумілу назву сервісу або адресу сайту;

• не використовуйте без потреби скорочені та незрозумілі посилання;

• захищайте друковані коди від простого переклеювання;

• регулярно перевіряйте, чи не з'явилася поверх коду стороння наклейка;

• поясніть продавцям і адміністраторам, куди повинні вести QR-коди магазину.

Якщо невідомий QR-код з'явився у вашому торговому залі, його потрібно одразу вилучити та з'ясувати, хто і коли його розмістив.

Окреме правило варто встановити для бухгалтерії та керівників: QR-код у рахунку, листі про оплату або повідомленні про доступ до робочого акаунта не робить документ безпечним. Якщо запит незвичний, його потрібно перевірити через інший канал зв'язку.

Що робити, якщо QR-код магазину підмінили

Якщо ви знайшли сторонній QR-код на своїй платіжній табличці, меню або іншому матеріалі:

1. припиніть його використання;

2. сфотографуйте код і місце, де він був розміщений;

3. за можливості збережіть саму наклейку;

4. визначте приблизний час, протягом якого код міг бути доступним покупцям;

5. перевірте записи камер спостереження;

6. якщо код використовувався для платежів — повідомте банк або платіжного провайдера;

7. передайте інформацію Кіберполіції.

Це допоможе не лише припинити схему, а й зрозуміти, чи могли постраждати ваші клієнти.

Уже ввели дані на підозрілому сайті?

Якщо ви ввели реквізити банківської картки, негайно зв'яжіться з банком через офіційний номер або застосунок та виконайте його рекомендації щодо блокування картки й захисту рахунку.

Якщо ви ввели пароль від робочої пошти, Microsoft 365, Google або іншого бізнес-акаунта:

• одразу змініть пароль з надійного пристрою;

• завершіть активні сеанси входу;

• перевірте налаштування двофакторної автентифікації;

• перевірте, чи не з'явилися невідомі правила переадресації або фільтрації пошти;

• повідомте відповідального за IT або інформаційну безпеку.

Зламану корпоративну пошту шахраї можуть використати для надсилання підроблених рахунків вашим працівникам, клієнтам і партнерам. Саме така поведінка спостерігається в сучасних QR-фішингових кампаніях.

Якщо ви стали жертвою шахрайства, збережіть скріншоти, адресу сайту, сам QR-код, листи та інші деталі й подайте звернення до Кіберполіції: https://ticket.cyberpolice.gov.ua/ 

Збережіть скріншоти, адресу підозрілого сайту, повідомлення та інші деталі — ця інформація може бути корисною для правоохоронців.

БРАМА: як долучитися до протидії небезпечному контенту в інтернеті

Кіберполіція України розвиває проєкт «БРАМА» — спільноту, учасники якої допомагають виявляти та обмежувати поширення шахрайського, дезінформаційного та іншого небезпечного контенту в інтернеті.

До проєкту можуть долучатися громадяни, державні установи та представники приватного сектору. Спеціальні технічні знання для участі не потрібні.

Що роблять учасники БРАМИ

Учасники проєкту можуть:

• повідомляти про ресурси з потенційно небезпечним контентом;

• надсилати скарги через офіційні механізми соціальних мереж та інших платформ;

• отримувати інформацію про актуальні шахрайські схеми та кіберзагрози;

• користуватися матеріалами з медіаграмотності та кібергігієни.

Для роботи достатньо смартфона або комп’ютера.

Начальник відділу Управління протидії кіберзлочинам у місті Києві, майор поліції Ігор Чепур зазначає, що участь користувачів допомагає швидше виявляти небезпечний контент та реагувати на нього.

За його словами, користувач може повідомити про підозрілий ресурс, скористатися механізмом скарги на платформі або перевірити сумнівну інформацію перед її поширенням.

Результати проєкту

За даними Кіберполіції, за час роботи БРАМИ користувачі надіслали понад 140 тисяч повідомлень про потенційно небезпечні ресурси.

Також у межах роботи спільноти заблоковано понад 26 тисяч джерел неприйнятного контенту.

Як розвиватиметься БРАМА

Кіберполіція планує розширювати проєкт кількома напрямами:

• «Кібер Брама» — освітній вебпортал із матеріалами про кібербезпеку та цифрову грамотність;

• «Чатові Онлайн» — платформа для навчання та участі у протидії небезпечному контенту;

• мобільний застосунок БРАМА.

Проєкт також продовжить інформувати користувачів про шахрайські схеми, кіберзагрози та правила безпечної роботи в інтернеті.

Детальніше про проєкт та способи долучитися можна дізнатися на офіційних ресурсах БРАМИ та Кіберполіції України.