«Оплата парковки — отсканируйте и заплатите за 30 секунд, без приложения».
Эта фраза напечатана чёрным по белому на аккуратной ламинированной наклейке, приклеенной ровно на корпус парковочного автомата. QR-код под ней работает безупречно. Открывшаяся страница показывает название вашего города, схему зоны, муниципальный логотип и форму оплаты. Через три минуты вам даже приходит SMS-подтверждение с номером талона.
Поддельно всё, кроме списания с вашей карты.
Квишинг — от слияния QR и phishing — самая незаметная форма современного фишинга. Ему не нужна подмена номера отправителя, не нужна украденная база данных, не нужен SMS Blaster, спрятанный в багажнике автомобиля. Ему нужен принтер, рулон клейкой ленты и десять секунд перед городским оборудованием.
Почему QR-код стал идеальной уязвимостью
Веб-ссылку можно прочитать. Можно заметить подозрительный дефис, расширение .top или .xyz, поддомен, который лишь притворяется настоящим (ants-gouv.verif-doc.net). Это и есть первое правило профилактики, о котором напоминает Cybermalveillance.gouv.fr: наведите курсор, прочитайте, проверьте доменное имя перед тем, как нажать.
А QR-код человеку нечитаем. Это графический чек без суммы: вы узнаёте пункт назначения только после открытия ссылки, иногда после двух перенаправлений. И эргономика смартфонов тут не помогает — многие устройства показывают URL совсем мелко, обрезанным, на полторы секунды, в строке уведомлений, которую никто не читает.
Три особенности делают его излюбленным инструментом мошенников:
- Доверие к физическому носителю. Муниципальный щит, зарядная станция, меню в ресторане: городская инфраструктура пользуется презумпцией подлинности, которой никогда не получит ни одно SMS.
- Невидимость для фильтров. Ни один оператор связи, ни один антиспам не может проанализировать наклейку, приклеенную на улице. Там, где массовое SMS со вредоносной ссылкой в конце концов блокируется, QR-код проходит по самому неотразимому каналу: через ваши глаза.
- Встроенный контекст срочности. QR-код парковки сканируют потому, что человек торопится, стоит во втором ряду, под дождём, со встречей через восемь минут. Именно те условия, в которых бдительность рушится.
ANSSI и Arcep регулярно напоминают, что техническая изощрённость мошенничества значит меньше, чем момент, в который оно происходит. Уличный квишинг — идеальная иллюстрация этого принципа.
Четыре самых частых сценария во Франции
1. Парковочные автоматы и паркоматы
Это наиболее задокументированный случай с 2024 года: сообщения поступали из десятков французских коммун — Шарлевиль-Мезьер, Руан, Лион, Тулуза, Ницца, несколько курортных городов в сезон. Схема неизменна: наклейку размещают на экране парковочного автомата или рядом с ним, часто перекрывая прежний официальный QR-код.
Фальшивый сайт копирует визуальный стиль легитимных парковочных приложений. Он запрашивает номер автомобиля, продолжительность стоянки, а затем полные банковские данные: 16-значный номер, срок действия, CVC. Некоторые варианты идут дальше и предлагают «месячную подписку за 1 €», за которой в действительности скрывается регулярное списание.
2. Зарядные станции для электромобилей
Декорации идеальны: зарядная станция — это техническое оборудование, часто плохо обозначенное, с несколькими конкурирующими операторами, множеством приложений и нечитаемыми тарифами. Водитель не всегда знает, кому он должен платить. Мошеннический QR-код, приклеенный на стойку станции с пометкой «оплата без карты доступа», мгновенно находит свою цель — особенно в дальних поездках, когда хочется быстрее двинуться дальше.
3. Фальшивые штрафы и извещения о доставке
Поддельные «уведомления о неоплаченной парковке», подложенные под стеклоочистители, напечатанные на жёлтой или зелёной бумаге, с QR-кодом для оплаты. Та же логика с фальшивыми извещениями курьерской службы, повешенными на почтовый ящик: больше не нужно отправлять SMS о посылке, достаточно оставить бумажку.
4. Террасы, афиши и витрины
Перекрытый QR-код меню, подменённая афиша концерта или барахолки, наклейка «Бесплатный Wi-Fi» в зале ожидания. Здесь цель не всегда немедленная оплата: чаще это сбор номера телефона и адреса электронной почты, которые перепродают или используют для целевой смишинг-кампании через несколько недель.
SMS — второй этаж мошенничества
Именно об этом забывает большинство профилактических статей: QR-код почти никогда не является концом истории. Он нужен, чтобы получить данные, а эти данные затем используются для написания абсолютно правдоподобного SMS.
Полный сценарий выглядит так:
| Этап | Что вы переживаете | Что происходит на самом деле |
|---|---|---|
| 1 | Вы сканируете QR-код на парковочном автомате | Вы попадаете на домен, созданный на прошлой неделе |
| 2 | Вы вводите номер машины, телефон, данные карты | Данные уходят в открытом виде на сторонний сервер |
| 3 | Вы получаете SMS «талон подтверждён № 48219» | SMS отправляют сами мошенники, чтобы снять все сомнения |
| 4 | Через 3–20 дней: «ошибка оплаты, погасите задолженность» | Второе списание или кража кода 3-D Secure |
| 5 | Звонок «из вашего банка» с просьбой подтвердить операцию | Мошенничество с фальшивым менеджером, у которого на руках точные данные |
SMS-подтверждение играет ключевую психологическую роль: оно превращает сомнительную операцию в успешную транзакцию. Вы убираете телефон успокоенным, не следите за счётом и не свяжете странное списание 14-го числа с той парковкой 2-го.
Именно это SMS делает мошенничество настолько трудно отслеживаемым: к тому моменту, когда жертва всё понимает, сообщение удалено, история браузера очищена, а название улицы забыто.
Простое правило, которое стоит запомнить: QR-код никогда ничего вам не подтверждает. Это может сделать только официальное приложение, которое вы установили, или сайт, адрес которого вы набрали сами.
Как распознать подменённый QR-код за десять секунд
Хорошая новость в том, что это мошенничество физическое — а значит, заметное невооружённым глазом. Прежде чем что-либо сканировать в общественном пространстве:
- Потрогайте код. Наклейку, приклеенную поверх, чувствуешь пальцем: приподнятый край, отходящий угол, воздушный пузырь. Официальные QR-коды нанесены трафаретной печатью, выгравированы или напечатаны прямо на панели, под жёстким пластиком.
- Посмотрите на выравнивание и шрифт. Шрифт, отличающийся от остальной панели, пропущенный диакритический знак, пикселизованный логотип, надпись «Ville de…» без официальной символики — всё это сигналы.
- Ищите дубли. Два QR-кода на одном и том же оборудовании, один из которых добавлен наспех, — самый частый сценарий.
- Проверьте домен до открытия. Французские администрации и муниципалитеты используют узнаваемые домены на
.gouv.frили.fr. Ссылка на.top,.icu,.shop,.online, сокращатель (bit.ly,cutt.ly) или длинный домен, набитый дефисами, — закрываем. - Насторожитесь при запросе CVC. Ни одна государственная парковочная служба никогда не попросит ваш трёхзначный код на странице, открытой по QR-коду, без прохождения 3-D Secure.
Помогает больше, чем кажется, совсем простой аксессуар: автомобильный держатель для телефона, который позволяет держать смартфон на уровне глаз и спокойно прочитать URL вместо того, чтобы сканировать на вытянутой руке при открытой дверце и работающем двигателе.
Привычка, которая решает 90 % проблемы
Платить за парковку иначе. Официальные парковочные приложения во Франции можно скачать из магазинов приложений, и после установки они больше не требуют никаких QR-кодов. Оплата картой напрямую в парковочном автомате, где она есть, тоже остаётся непобедимой: никакой веб-страницы, никакой формы, никакого переданного номера телефона.
Для зарядных станций карта или RFID-бейдж вашего оператора мобильности решает проблему в корне. Совместимый считыватель зарядной карты или универсальный бейдж для нескольких сетей избавляет от необходимости что-либо сканировать на незнакомой станции.
Подготовьте телефон заранее
Несколько настроек, сделанных один раз, меняют всё в тот день, когда вы отсканируете не тот код.
Отключите автоматическое открытие ссылок. И на iPhone, и на Android камеру можно настроить так, чтобы она показывала URL и ждала подтверждения, а не сразу открывала браузер. Это единственный действительно эффективный барьер, и он бесплатный.
Включите уведомления о платежах в вашем банке. Оповещение о каждом списании, даже на 1 €, сокращает время обнаружения с трёх недель до трёх минут. Все французские банки предлагают эту услугу бесплатно в своём приложении.
Используйте виртуальную карту или карту с ограниченным лимитом для уличных платежей. Большинство банков и необанков позволяют сгенерировать одноразовый номер. Мошенник, получивший уже истёкший номер, не получил вообще ничего.
Держите телефон заряженным. Это кажется мелочью, но значительная часть плохих решений на парковке принимается в спешке, при 6 % заряда и желании поскорее со всем закончить. Компактный внешний аккумулятор в бардачке снимает часть этого давления.
Записывайте, что вы отсканировали. Если возникло сомнение, сразу же сфотографируйте оборудование и QR-код. Именно это доказательство позволит коммуне снять наклейку, а вашему банку — рассмотреть спорную операцию.
Вы отсканировали и заплатили: что делать
Время имеет огромное значение. По порядку:
- Немедленно заблокируйте карту через свой банк (круглосуточный экстренный номер) или, при отсутствии такой возможности, через межбанковский сервис по номеру 0 892 705 705.
- Требуйте возврата средств. Статья L133-18 Валютно-финансового кодекса обязывает банк возместить неавторизованную платёжную операцию, заявленную в установленные сроки, за исключением доказанной грубой небрежности с вашей стороны. Оформляйте требование письменно.
- Сообщите о полученном SMS на номер 33700 — официальную платформу для сообщений о мошеннических SMS и звонках, которой управляют французские операторы.
- Подайте заявление в комиссариат полиции, жандармерию или через платформу THESEE на service-public.fr для интернет-мошенничества.
- Сообщите о мошенническом сайте через Phishing Initiative, а о физическом QR-коде — в мэрию или оператору зарядной станции: именно так наклейку снимают.
- Следите за счетами в течение трёх месяцев. Украденные данные часто перепродают и используют с задержкой в несколько недель, в частности в виде фальшивых звонков «от вашего менеджера».
А если нужно быстро предупредить близкого или коллегу, который парkует машину на той же улице, достаточно короткого сообщения: «На парковочном автомате на улице X поддельный QR-код, плати картой прямо в автомате». Это как раз тот тип срочного оповещения, для которого удобна отправка SMS через интернет, без установки чего бы то ни было.
О чём это мошенничество говорит в целом
Уличный квишинг — не слишком изощрённая афера. Это афера, хорошо расположенная. Она иллюстрирует сдвиг, который заметен почти во всех недавних кампаниях: мошенники больше не пытаются обмануть ваше суждение, они ищут момент, когда вы не рассуждаете.
Перед парковочным автоматом, под дождём, с крутящейся в голове мыслью о возможном штрафе, никто не анализирует доменное имя. Именно поэтому единственная устойчивая защита — не подозрительность (она изматывает и неприменима), а привычка: всегда платить через один и тот же канал, выбранный на холодную голову, в день, когда вы никуда не спешили.
Блокнот, который лежит в машине, с нужными номерами (блокировка карты, помощь на дороге, 33700) стоит два евро и экономит решающие четверть часа. Профилактика — что в случае мошеннических SMS, что в случае поддельных QR-кодов — почти всегда происходит до инцидента.
