Заглянуть в QR-код
Камера телефона открывает QR-код почти сразу, как только его увидит. Этот сканер останавливается на шаг раньше. Он расшифровывает код, показывает, что в нём записано и что сделал бы с этим телефон, а решение оставляет вам.
На телефоне при выборе «Сканировать камерой» включается задняя камера. С компьютера подойдёт снимок экрана или фото кода: перетащите файл или вставьте его через Ctrl+V (⌘+V на Mac).
🔒 Decoding takes place on your device. Camera frames and pictures stay in your browser, and what the code says is not passed to anyone.
QR-код это короткий текст
Чёрные и белые квадраты кодируют символы, максимум несколько тысяч, с коррекцией ошибок, чтобы код читался, даже если часть его испачкана или закрыта логотипом. Больше в нём ничего нет. Ни программы, ни скрытого адреса назначения. Проблемы начинаются с того, что делает дальше сканирующее устройство. Если текст начинается с https://, телефон предлагает его открыть. Другие префиксы запускают другие действия, и по квадратам никто не скажет, какие именно.
Поэтому мошенничество перешло на QR-коды. Ссылка в письме проходит через спам-фильтры, и на неё можно навести курсор, чтобы проверить. Напечатайте ту же ссылку кодом на паркомате, столике в ресторане или поддельном извещении о доставке, и она обходит фильтры и открывается на телефоне, где адресная строка показывает совсем немного.
Какое содержимое распознаёт сканер
| Начинается с | Что сделал бы телефон | Что проверить |
|---|---|---|
http://, https://, www. | Открыть веб-страницу | Домен, выделенный жирным |
WIFI: | Подключиться к беспроводной сети | Кто держит сеть; открытые сети и WEP отмечаются |
BEGIN:VCARD, MECARD: | Добавить контакт | Поля почты и сайта |
mailto:, SMSTO:, sms:, tel: | Подготовить сообщение или звонок | Получателя; короткие и платные номера отмечаются |
otpauth:// | Добавить аккаунт в приложение-аутентификатор | Что настраиваете его именно вы |
bitcoin:, ethereum: и подобные | Подготовить перевод криптовалюты | Всё, потому что его нельзя отменить |
000201…, BCD, upi:// | Подготовить платёж картой, банковский (SEPA) или UPI | Имя получателя и сумму |
geo:, BEGIN:VEVENT | Открыть карту, добавить событие в календарь | Ничего особенного |
Всё остальное показывается как обычный текст. Если в этом тексте спрятан веб-адрес, он проходит ту же проверку, что и ссылка. Код с адресом javascript:, data: или file: отмечается красным.
Как проверяется ссылка
В большинстве кодов записан веб-адрес, и сканер разбирает его на части, не запрашивая.
- Домен. Регистрируемый домен выделяется жирным и проверяется на смешанные алфавиты, невидимые символы и сходство с известными брендами тем же движком, что и детектор похожих символов. Всё, что стоит перед
@, отдельно отмечается, потому чтоhttps://city-parking.example@payments.example.net/ведёт на payments.example.net. - Шифрование. Обычный адрес
http://жёлтый. - Сокращатели. Распознаются около пятидесяти сервисов, например bit.ly, tinyurl.com и qrco.de. Настоящий адрес назначения хранится на сервере сокращателя, и из кода его не прочитать. Для bit.ly знак
+в конце адреса показывает страницу предпросмотра. У TinyURL естьpreview.tinyurl.com. - Параметры отслеживания.
utm_source,fbclid,gclidи их родственники перечисляются, и вы получаете вторую копию адреса без них. - Слова об оплате. Если в адресе упоминается оплата, парковка, штраф, проезд или счёт, заметка напоминает проверить, нет ли наклейки поверх исходного кода.
Расшифрованный текст никогда не превращается в кликабельную ссылку, за одним исключением. Обычные веб-адреса получают внизу ссылку «Всё равно открыть», которая открывает новую вкладку без передачи referrer.
Чего не скажет чтение кода
Сканер видит адрес, а не страницу. На домене без единой ошибки в написании всё равно может лежать копия формы входа в банк. Чтобы проверить сам адрес назначения, вставьте его в проверку опасных сайтов или пройдите по нему шаг за шагом с помощью трассировки редиректов. Обе работают с нашего сервера, а не с вашего телефона.
Физический мир он тоже не видит. Проведите пальцем по коду на общественном автомате: у наклейки есть край. Для любого платежа самый надёжный путь это приложение оператора или веб-адрес, который вы вводите сами.
Будьте особенно осторожны с кодами otpauth://. В них лежит секрет, из которого генерируются ваши коды входа. Сканируйте такой код только на странице безопасности сервиса, где вы сами включаете двухэтапную проверку. Никто из добросовестных отправителей не пришлёт вам такой код, чтобы «подтвердить аккаунт».
Для расшифровки используется встроенный в браузер детектор штрихкодов, если он есть. Если нет, с этого сайта загружается небольшой декодер с открытым кодом. В обоих случаях картинка остаётся на вашем устройстве, а камера, которой нужно ваше разрешение, выключается, как только код прочитан.
Частые вопросы
Может ли сканирование QR-кода взломать телефон?
Чтение кода безвредно, ведь он даёт только текст. Риск начинается с того, что происходит дальше: открытие фишинговой страницы, подключение к незнакомой сети Wi-Fi или подтверждение платежа. Если сначала посмотреть на содержимое, как делает эта страница, не случится ничего, чего вы не выбрали.
Как отсканировать QR-код на собственном экране?
Сделайте снимок экрана, затем перетащите картинку на эту страницу, выберите её кнопкой файла или вставьте через Ctrl+V (⌘V на Mac). Картинка расшифровывается локально.
Что такое квишинг?
Фишинг через QR-код. Типичный вариант: наклейка на паркомате или зарядной станции, которая ведёт на поддельную страницу оплаты. Другой вариант: письмо с просьбой отсканировать код, чтобы «сохранить аккаунт активным», которое переводит вас с защищённого рабочего компьютера на личный телефон.
Почему сканер пишет, что QR-код не найден?
Скорее всего, код слишком мелкий в кадре, размыт или обрезан. Обрежьте картинку вокруг кода, оставив белое поле со всех четырёх сторон, и попробуйте снова. Коды, отличные от QR, например обычные штрихкоды товаров или Data Matrix, не читаются.
Опасен ли QR-код со ссылкой через сокращатель?
Не обязательно. Многие генераторы QR-кодов пропускают каждый код через свой короткий домен, чтобы адрес назначения можно было потом поменять. Но это значит, что код ничего не говорит о том, куда вы попадёте, а адрес может измениться уже после печати кода. Воспользуйтесь предпросмотром сокращателя или трассировкой редиректов.
Покидает ли снимок с камеры моё устройство?
Нет. Кадры анализируются в браузере и выбрасываются. Расшифрованное содержимое тоже никуда не передаётся.