Квишинг: фишинг, спрятанный в QR-код, короткая статья справочника, автор Илья Завьялов
Квишинг это фишинг, у которого адрес спрятан внутри напечатанного квадрата. Слово неуклюжее, а суть простая: ссылка, которую нельзя прочитать, пока не откроешь. Обнаружений у Microsoft стало 18,7 миллиона в марте 2026 года против 7,6 миллиона в январе, за первый квартал это рост на 146 процентов, а ESET нашла QR-код примерно в 11 процентах фишинговых писем за первое полугодие. Четырнадцать процентов потребителей говорят, что уже попадались.
Квишинг: фишинг, спрятанный в QR-код, короткая статья справочника, автор Илья ЗавьяловКаждый шаг убирает одну вещь, которую вы обычно проверили бы.
Почему у него отдельное имя
Обычную фишинговую ссылку можно осмотреть. Наводите курсор, читаете адрес, замечаете, что домен не тот. Вся эта привычка перестаёт работать, когда адрес закодирован в узор из квадратиков: наводить не на что и читать нечего.
Сканируют обычно телефоном, и это меняет того, кто смотрит. Телефон показывает укороченный адрес, прячет полный путь и чаще всего находится вне той защиты, что стоит на рабочем компьютере.
То есть термин описывает способ доставки, а не новый вид мошенничества. В конце пути ждёт всё та же поддельная страница входа, что и всегда.
Почему почтовые фильтры это пропускают
Для фильтра QR-код это картинка. Вредный адрес лежит слоем ниже, внутри изображения, которое сканеру надо сначала раскодировать, а многие системы до сих пор этого не делают.
Нападающие добавляют трение намеренно. Код кладут внутрь вложенного PDF или разрезают так, чтобы часть отрисовывалась только при открытии письма, и это ломает простое извлечение.
Получается письмо, в котором ссылки нет вообще. Все правила, написанные ради переписывания и проверки ссылок, пропускают его молча: по их собственному определению проверять нечего.
Печатные коды и наклейки
Физическому варианту почта не нужна. Наклейка ложится поверх настоящего кода на паркомате, на столике в кафе, на зарядной станции или на афише, а поверхность, которую она закрывает, никто и не проверял.
Работает это потому, что уговаривает контекст. От паркомата никто не ждёт фишинговой страницы, а запрошенная небольшая сумма ровно та, за которой человек и подошёл.
Смотрите на края, прежде чем сканировать что-либо на улице. У наклейки поверх печати есть выступающая кромка, лёгкое несовпадение оттенка или отходящий угол, и эти тридцать секунд осмотра и есть вся защита.
Что проверить до сканирования
Посмотрите на предпросмотр адреса до того, как страница откроется. Любой современный телефон на секунду показывает, куда ведёт код, и закрыть предпросмотр ничего не стоит, если домен незнакомый.
Откажитесь от любого кода, который пришёл вместе со срочностью. Оплатить сегодня, счёт закрывается, посылка задержана, платёж просрочен. Срочность стоит там ради того, чтобы убрать паузу, а именно паузу вы и защищаете.
Никогда не входите в учётную запись через страницу, до которой добрались сканированием. Откройте приложение или наберите адрес руками. Одно это правило обнуляет смысл всей техники, потому что сбор паролей и есть её цель.
Если уже отсканировали
Само сканирование редко бывает уроном. Страницу надо открыть и что-то на ней набрать, поэтому код, который вы закрыли сразу, обычно не требует больше ничего.
Если данные ввели, меняйте этот пароль с другого устройства и завершайте активные сессии учётной записи. Порядок важен: сначала отзыв, потом смена, потом проверка резервных настроек.
Если платёж прошёл, звоните в банк в тот же час и просите возврат или отзыв. С небольшими суммами люди ждут, и именно поэтому небольшие суммы и выбирают.
Обнаружений стало больше чем вдвое за три месяца.
Одна и та же атака, три способа доставки
Способ доставки
Что видит защита
Что действительно останавливает
Ссылка в письме
Читаемый адрес, который можно проверить
Прочитать домен до нажатия
QR-код в теле письма
Картинку, ссылки нет
Фильтр, который раскодирует изображения
QR-код внутри PDF
Вложение, ссылки нет
Открывать вложения только когда их ждут
Наклейка поверх печатного кода
Ничего, письма нет вообще
Осмотреть края наклейки
Код на афише или листовке
Ничего, бумага выглядит официально
Набрать адрес руками вместо сканирования
Решение принимается до того, как открылась камера, а не после.
Вопросы и ответы
Сканирование QR-кода опасно само по себе?
Редко. Сканирование открывает страницу, а урон требует, чтобы вы что-то на ней набрали или подтвердили платёж. Закрыли предпросмотр из-за странного домена, и на этом всё.
Почему на телефоне хуже?
Он показывает укороченный адрес, прячет полный путь и обычно стоит вне защиты, которая применяется на рабочем компьютере. Та же страница в настольном браузере выглядела бы явно неправильной.
QR-код может что-то установить сам?
На современном телефоне без дополнительных действий нет. Реальный риск это страница, которая просит войти или заплатить, поэтому правило про то, что вы набираете, а не про то, что сканируете.
Как заметить наклейку поверх настоящего кода?
Потрогайте край. У наклейки выступающая кромка, часто чуть другой оттенок белого и отходящий угол. У кода, напечатанного прямо на поверхности, ничего этого нет.
Чем сканировать безопаснее, камерой или приложением?
Камерой, и читайте предпросмотр. Сторонние приложения-сканеры часто открывают страницу сразу, а иногда сначала проводят её через собственный адрес, и единственный момент, когда можно было посмотреть, исчезает.
А если код в письме из банка на бумаге?
Относитесь к бумаге как к почте. Откройте банковское приложение сами и поищите то же уведомление там. Настоящее сообщение есть в обоих местах, а мошенническое только на бумаге.
Автор: Илья Завьялов, консультант по цифровой безопасности. Все термины словаря