Квишинг в PDF и QR-коде: как распознать и защититься

Почему QR-код внутри PDF-письма опаснее обычной ссылки

Классический фишинг строится на ссылке прямо в тексте письма: почтовый сервис сканирует её, сверяет с базами вредоносных доменов и в большинстве случаев помечает подозрительное сообщение как спам ещё до того, как человек его откроет. QR-код устроен иначе. Для антифишинг-фильтра он не текст и не ссылка, а обычное графическое изображение — внутри PDF или XLSX это просто набор пикселей, как логотип или печать. Фильтр не «читает» QR-коды так, как читает URL, поэтому вредоносная ссылка внутри кода спокойно проходит мимо автоматических проверок.

Расшифровать код способна только камера телефона или специальное приложение — то есть угроза становится видимой лишь в момент, когда пользователь уже навёл камеру и перешёл по ссылке. Этим квишинг (термин происходит от quishing = QR + phishing, по определению Kaspersky) принципиально отличается от обычного фишинга: сканирование чаще всего происходит с личного смартфона, который не защищён корпоративным антивирусом или почтовым шлюзом, стоящим на рабочем компьютере.

Какие схемы используют мошенники

Злоумышленники подстраивают сценарий под контекст, в котором QR-код выглядит естественно — так жертва меньше сомневается перед сканированием.

Подмена счёта на оплату

В PDF-«счёте» от якобы знакомого поставщика или арендодателя вместо привычных банковских реквизитов указан QR-код «для быстрой оплаты». Сканирование открывает поддельную платёжную страницу, которая выглядит как форма интернет-банка и ворует данные карты или пароль от мобильного приложения.

«Посылка не доставлена»

Письмо имитирует уведомление транспортной компании: вложение с QR-кодом «для отслеживания» или «подтверждения адреса». После сканирования открывается форма, которая просит доплатить небольшую сумму за доставку картой — так крадут реквизиты платежа.

Фальшивая благотворительность

После резонансных новостей (стихийное бедствие, сбор помощи) в письмах и на бумажных объявлениях появляются QR-коды «для пожертвования». Деньги уходят не в фонд, а напрямую мошенникам, а форма сбора данных попутно может запросить лишние персональные сведения.

Уведомление от банка или госуслуг

PDF маскируется под официальное письмо банка или государственного сервиса: «подтвердите личность по QR-коду», «обновите данные профиля». Поддельная страница после сканирования один в один копирует интерфейс входа, чтобы получить логин, пароль и код из SMS.

5 признаков, что QR-код или PDF-вложение подделаны

1. Несоответствие отправителя. Адрес письма не совпадает с официальным доменом компании, от имени которой якобы пришло вложение — даже если имя отправителя выглядит знакомо.
2. Код запрашивает данные сразу после сканирования. Легитимные платёжные QR-коды обычно ведут на страницу с суммой и реквизитами, а не сразу требуют номер карты, CVC или код из SMS.
3. URL в превью не совпадает с ожидаемым доменом. Большинство камер показывают адрес перед переходом — если вместо сайта банка или транспортной компании там незнакомый или искажённый домен, это тревожный сигнал.
4. Двойное расширение у самого файла. Вложение называется «invoice.pdf.exe» или похожим образом — реальное расширение всегда последнее в имени файла, подробнее — в гайде как распознать двойное расширение файла.
5. Давление на срочность. «Оплатите в течение часа», «аккаунт будет заблокирован сегодня» — классический приём социальной инженерии, который мешает жертве остановиться и проверить источник.

Опасный vs безопасный сценарий

Как проверить вложение, прежде чем открывать или сканировать QR

Проверка занимает пару минут и снимает большую часть риска, даже если письмо выглядит убедительно.

1. Проверьте отправителя. Сравните адрес письма с официальным доменом компании — не с именем, которое показывает почтовый клиент, а с реальным адресом после «@».
2. Не сканируйте код с неизвестных источников. Если QR-код пришёл в рассылке, которую вы не ожидали, или наклеен поверх другого объявления — не наводите на него камеру вообще.
3. Проверьте реальное расширение файла. Включите отображение расширений в проводнике и убедитесь, что вложение не маскирует исполняемый файл под документ — см. карту опасных расширений.
4. Проверьте вложение онлайн-сканером. Загрузите PDF или XLSX через сервис проверки файла на вирусы онлайн — несколько антивирусных движков проверят его одновременно.
5. Сверьте контрольную сумму, если файл получен не от первого лица. Для официальных документов, которые должны совпадать с оригиналом (например, присланных через третьи руки), полезно свериться по хэшу — как это сделать, описано в статье контрольная сумма файла.

Что делать, если вы уже отсканировали код или открыли файл

Если переход уже произошёл или данные успели ввести — важна скорость реакции, а не паника.

1. Отключите интернет на устройстве. Выключите Wi-Fi и мобильные данные — это остановит передачу данных, если на странице уже сработал скрипт или загрузка.
2. Смените пароли и включите двухфакторную аутентификацию. Особенно если на поддельной странице вводились логин и пароль от банка, почты или мессенджера — делайте это с другого устройства.
3. Проверьте устройство антивирусом. Запустите полное сканирование телефона или компьютера, а не быстрое — по рекомендации Keeper Security, именно полная проверка находит скрытые угрозы.
4. Следите за подозрительной активностью на счетах. Если вводились данные карты — свяжитесь с банком, при необходимости перевыпустите карту и подключите уведомления о списаниях.

QR-фишинг не только в письмах

Та же схема работает и вне почты: поддельные QR-коды встречаются на бумажных объявлениях о парковке, квитанциях и даже наклеенными поверх настоящих кодов на афишах. Отдельная угроза — QRLJacking: злоумышленник показывает жертве настоящий QR-код входа в мессенджер (например, для привязки сессии на другом устройстве), а после сканирования получает доступ к переписке. Правило то же: сканировать стоит только коды из проверенного источника, который вы ожидали увидеть.

Чек-лист: 7 правил безопасной работы с вложениями

Частые вопросы