# Квишинг: когда обычный QR-код, наклеенный на паркомат, приходит на смену SMS-ловушке

> Мошенники отказываются от кликабельных ссылок в пользу QR-кодов: наклейки на паркоматах, зарядных станциях, поддельные письма. Разбираемся, что такое квишинг, и какие привычки выработать, прежде чем сканировать.

- Source: https://www.envoyer-sms-gratuit.com/ru/blog/2026-08-29/arnaque-sms-qr-code-quishing-affiches-parkings
- Published: 2026-08-29 (29 августа 2026 г.)
- Author: L'équipe Envoyer SMS Gratuit
- Language: ru
- Categories: Guide
- Tags: Cybersécurité, Smartphone, Protection des données, Guide, France 2026, Seniors

---
Вы паркуетесь в центре города. На паркомате — аккуратная, ровно наклеенная наклейка с правдоподобным городским логотипом и уже ставшей привычной надписью: «Оплатите парковку без наличных — сканируйте». Вы достаёте телефон, сканируете, открывается форма, вы вводите номер машины и данные банковской карты. Тридцать секунд, никаких приложений устанавливать не нужно. Именно этого от вас и добиваются города уже много лет.

Вот только наклейку прошлой ночью наклеили поверх настоящей.

Никакой видимой ссылки, никаких орфографических ошибок, никакого пугающего тона. Квишинг — от слов *QR code* и *phishing* — не имеет ничего общего с угрожающими SMS, сопротивляться которым нас научили. Он не давит на вас: он оказывает вам услугу. А тот, кто чувствует, что ему помогают, не чувствует опасности.

![Крупный план лица женщины, которая держит у уха чёрный смартфон](/images/blog/2026-08-29-arnaque-sms-qr-code-quishing-affiches-parkings/hero.jpg)

## Почему QR-код стал слепым пятном бдительности

Последние десять лет всё просвещение публики в области защиты от фишинга строилось на одном-единственном навыке: **читать адрес**. Замечать лишний дефис, `.xyz` вместо `.fr`, название банка с прилипшим к нему посторонним словом. Cybermalveillance.gouv.fr, ANSSI и банковские службы годами повторяют один и тот же совет: проверьте ссылку, прежде чем нажимать.

QR-код разом обнуляет этот навык. Квадрат из чёрных пикселей не говорит ничего. На него нельзя навести курсор, его нельзя прочитать, его не с чем сравнить. Его сканируют — то есть доверяют ему авансом.

Ситуацию усугубляют три фактора:

- **Массовое распространение после 2020 года.** Меню в ресторанах, билетные кассы, зарядные станции, инструкции к мебели, этикетки товаров: сканирование стало рефлексом, за которым не стоит ни малейшего подозрения.
- **Разрыв контекста.** Мошенническое SMS приходит в поток (ваши сообщения), где другие письма служат точкой отсчёта. QR-код же материален: он заимствует доверие у той поверхности, на которую наклеен. Наклейка на официальном городском оборудовании *выглядит* официально.
- **Смена экрана.** Код на уличной поверхности вы чаще всего сканируете, держа телефон на вытянутой руке, при ярком свете и в спешке. Это худший из возможных контекстов для того, чтобы внимательно прочитать обрезанную адресную строку.

Классический смишинг никуда не делся — волны поддельных банковских и «государственных» SMS, о которых в последние месяцы писала региональная пресса, тому подтверждение. Но QR-код даёт мошенникам то, чего SMS уже не даёт: **полное отсутствие фильтра**. Ни один оператор не способен проанализировать наклейку.

## Где их находят на практике во Франции

Обращения в объединения потребителей и муниципалитеты рисуют довольно устойчивую географию.

| Подменённая поверхность | Заявленный предлог | Что получает мошенник |
|---|---|---|
| Паркомат, подземный паркинг | Оплата парковки | Банковская карта, номер машины, личные данные |
| Станция зарядки электромобилей | Запуск сеанса зарядки | Банковская карта, создание аккаунта |
| Велосипеды и самокаты шеринга | Быстрая разблокировка транспорта | Банковские реквизиты |
| Объявление о поиске попутчиков / частное объявление | Связь с продавцом | Логин и пароль от платформы |
| Бумажное «официальное» письмо | Урегулирование дела, возврат средств | Полный комплект персональных данных |
| Посылка с флаером «подарок» | Отзыв в обмен на скидочный купон | Аккаунт магазина, скрытая подписка |
| Терраса кафе, столик в ресторане | Меню или оплата счёта | Банковская карта |

Два варианта заслуживают особого внимания.

**Поддельное официальное письмо.** Получить бумажное письмо для многих по-прежнему признак серьёзности. Кампании, имитирующие государственные структуры — медицинское страхование, пенсионные кассы, налоговую службу, — теперь заменяют веб-адрес QR-кодом именно потому, что QR-код подделать проще, чем проверить сайт госучреждения. Напомним принцип, о котором предупреждает Ameli: Assurance Maladie никогда не запрашивает банковские реквизиты по сообщению или незапрошенному письму, чтобы «разблокировать» возмещение.

**«Брашинг» с флаером.** Вам приходит небольшая посылка, которую вы не заказывали, с карточкой, предлагающей подарок за отзыв. QR-код ведёт на форму, которая собирает гораздо больше данных, чем нужно.

## Что на самом деле происходит после сканирования

Вопреки стойкому заблуждению, сканирование QR-кода не «взламывает» телефон. Код содержит лишь данные: чаще всего веб-адрес, иногда номер для звонка, Wi-Fi-сеть, текст или платёжную команду. Опасность заключается в **том, что вы делаете дальше**.

Преобладают три сценария:

1. **Страница сбора данных.** Очень точная копия платёжного сайта. Вы вводите данные карты — и они уходят прямо к мошеннику или, что коварнее, используются для оформления регулярной подписки на несколько евро в неделю: сумма намеренно мала, чтобы не привлечь вашего внимания в выписке.
2. **Инициирование звонка.** В коде зашит номер с повышенным тарифом; устройство предлагает позвонить, и достаточно секунды невнимательности. Это механика wangiri, перенесённая на физический носитель.
3. **Установка в обход официального магазина.** Страница предлагает установить «приложение для парковки» через напрямую скачанный файл. В Android разрешение на установку из неизвестного источника открывает дорогу программе, способной перехватывать ваши SMS — а значит, и коды подтверждения банковских операций.

Третий случай самый серьёзный, потому что превращает разовую кражу в постоянный доступ. И он же единственный, который требует от вас нескольких явных подтверждений: то есть даёт вам несколько моментов, когда ещё можно сказать «нет».

> Простое правило, которое стоит запомнить: легитимный QR-код никогда не предлагает вам установить что-либо за пределами App Store или Play Store. Никогда.

## Шесть привычек, которых достаточно, чтобы не попасться

### 1. Потрогать, прежде чем сканировать

Самый эффективный жест не стоит ничего: проведите пальцем по QR-коду. Наклейку, налепленную поверх, чувствуешь — слегка отходящий край, толщина, другая степень глянца, перекошенный угол, пикселизированный логотип. На паркомате или зарядной станции посмотрите также, не перекрывает ли код какую-то информацию (серийный номер, юридические сведения). Официальный оператор никогда не закрывает собственные надписи.

### 2. Прочитать адрес, прежде чем открывать

Все современные телефоны показывают URL в предпросмотре до открытия страницы. Потратьте эти две секунды. Значение имеет слово **непосредственно перед первым `/`**: это и есть настоящий домен. `paiement.ville-de-lyon.fr/parking` выглядит правдоподобно; `ville-de-lyon.paiement-securise-fr.co/parking` — совсем нет, даже если начало кажется убедительным.

Если вам трудно читать с экрана на улице, на ярком солнце или в прогрессивных очках, это не мелочь для удобства, а фактор риска. [Антибликовая плёнка для смартфона](https://www.amazon.fr/s?k=film+antireflet+mat+smartphone+protection+ecran&tag=ds050-21) заметно улучшает читаемость при ярком свете и, косвенно, вашу способность проверить адрес до нажатия.

### 3. Отказаться от короткого пути, если есть альтернатива

Почти всегда существует маршрут, который невозможно подделать:

- для парковки — официальное городское приложение, установленное из магазина приложений, или попросту монеты и карта, вставленная в сам паркомат;
- для государственного учреждения — ручной ввод известного адреса (ameli.fr, impots.gouv.fr, agirc-arrco.fr) в браузере;
- для банка — уже установленное приложение, но никогда не полученная ссылка.

Принцип неизменен: **никогда не идите по пути, который вам подсунули; идите по тому, который вы уже знаете.**

### 4. Изолировать платёж

Многие мошенничества с QR-кодами не приносят ничего, потому что использованная карта пуста. Именно для этого нужны виртуальные одноразовые карты, которые предлагает большинство французских банков, или [перезаряжаемая предоплаченная карта](https://www.amazon.fr/s?k=carte+prepayee+rechargeable&tag=ds050-21), отведённая под платежи «в поле» — парковка, зарядка, покупки в дороге. Лимит механически ограничивает ущерб, а скрытая подписка не может списать то, чего нет.

### 5. Заранее защитить устройство

Две настройки, раз и навсегда:

- в Android оставить отключённым разрешение устанавливать приложения из неизвестных источников (Настройки → Приложения → Специальный доступ);
- и в iPhone, и в Android включить защиту от мошеннических сайтов в настройках браузера.

Для тех, кто пользуется телефоном на улице, часто с занятыми руками, [чехол со встроенным картхолдером](https://www.amazon.fr/s?k=coque+smartphone+porte+carte+integre&tag=ds050-21) избавляет от необходимости доставать одновременно телефон и кошелёк прямо на тротуаре — а это как раз тот контекст, в котором сканируют быстро и невнимательно.

### 6. Сообщать — всегда

Мошенническая наклейка остаётся на месте до тех пор, пока её кто-нибудь не снимет. Три полезных действия:

- **отклеить фальшивый QR-код**, если это явно посторонняя наклейка, или сфотографировать его;
- **предупредить эксплуатанта**: мэрию, парковочную службу, оператора зарядной станции, управляющего заведением;
- **сообщить о странице** на платформе Cybermalveillance.gouv.fr, а связанное SMS — на номер **33700**, если сообщение предшествовало сканированию или последовало за ним.

Если платёж уже прошёл, немедленно заблокируйте карту, а затем подайте заявление в полицию. Европейская директива о платёжных услугах (PSD2), перенесённая во французское право, регулирует возврат средств по несанкционированным операциям: банк обязан вернуть деньги за операцию, которую вы не подтверждали, если только не докажет вашу грубую небрежность. Отсюда важность сохранения доказательств — фото наклейки, скриншот страницы, время и дата.

## Особый случай пожилых людей и уязвимых групп

Квишинг особенно бьёт по тем, кто освоил смартфон поздно. Такие люди часто усвоили упрощённое правило — «не нажимай на ссылки», — но QR-код в эту мысленную категорию не попал. Для многих сканировать — не значит нажимать.

Несколько работающих мер поддержки:

- переформулировать правило через пункт назначения, а не через носитель: «мы никогда не платим по коду, вывешенному на улице, мы платим через приложение, которое установили сами»;
- вместе установить два-три действительно нужных приложения (парковка, транспорт, банк), чтобы вообще отпала необходимость что-либо сканировать;
- увеличить размер шрифта и контрастность, чтобы предпросмотр адреса стал читаемым;
- для родителя, категорически не приемлющего технологии, признать право на минимальный набор функций: [телефон для пожилых с крупными кнопками](https://www.amazon.fr/s?k=telephone+portable+senior+grosses+touches&tag=ds050-21) без браузера полностью закрывает дверь для всех подобных атак, и это вполне законный выбор.

[Научно-популярная книга о кибербезопасности](https://www.amazon.fr/s?k=livre+cybersecurite+grand+public+debutant&tag=ds050-21), оставленная на журнальном столике, нередко действует сильнее, чем десятиминутное устное объяснение: чтение в своём ритме избавляет от ощущения, что тебя держат за ребёнка, — а именно оно блокирует столько семейных разговоров на эту тему.

## Что отличает легитимный QR-код от ловушки

| Признак | Легитимный | Подозрительный |
|---|---|---|
| Носитель | Напечатан вместе с основой, выгравирован, встроен в оборудование | Наклейка, налепленная сверху |
| Отображаемый домен | Название организации перед первым `/` | Название организации как поддомен или через дефис |
| Запрашиваемые данные | Сумма, номер машины, сеанс | Карта + удостоверение личности + налоговый номер |
| Установка | Переход в App Store / Play Store | Прямая загрузка файла |
| Срочность | Отсутствует | Таймер, «предложение действует 15 минут» |
| Альтернатива | Доступна обычная оплата | QR-код подаётся как единственный способ |

Последний критерий, пожалуй, самый показательный. Учреждение никогда не отменяет все прочие каналы. Если носитель объясняет вам, что сканирование — единственно возможный путь, значит, вас пытаются лишить возможности проверить информацию где-то ещё.

## Суть проблемы не техническая

Квишинг не опирается ни на какие компьютерные подвиги. Он опирается на коллективную привычку, сложившуюся за несколько лет: доверять физическому носителю просто потому, что он здесь, на виду, в общественном пространстве. Мы научились не доверять тому, что появляется на нашем экране без нашего запроса — SMS, письмам, звонкам, — но не тому, что наклеено на стойку посреди улицы.

Хорошая новость в том, что защита требует меньше усилий, чем в случае с мошенническим SMS. Ссылку, полученную в сообщении, нужно мысленно проанализировать за секунду. А QR-код можно просто потрогать пальцем. Самый надёжный тест против этого мошенничества образца 2026 года — и самый древний на свете: проверить рукой, не наклеено ли что-то поверх чего-то другого.

А если вам нужно быстро предупредить близкого о мошенничестве, замеченном в вашем районе, короткое и ясное сообщение остаётся самым действенным инструментом — куда лучше длинного голосового или нечитаемого скриншота. Одна фраза, одно место, один совет. Часто именно этого и не хватало, чтобы не сканировать лишнего.

{/* image-sources: https://images.pexels.com/photos/6964158/pexels-photo-6964158.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}