Квішинг: фішинг, схований у QR-код, коротка стаття довідника, автор Ілля Зав'ялов
Квішинг це фішинг, у якого адреса схована всередині надрукованого квадрата. Слово незграбне, а суть проста: посилання, яке не можна прочитати, доки не відкриєш. Виявлень у Microsoft стало 18,7 мільйона в березні 2026 року проти 7,6 мільйона в січні, за перший квартал це зростання на 146 відсотків, а ESET знайшла QR-код приблизно в 11 відсотках фішингових листів за перше півріччя. Чотирнадцять відсотків споживачів кажуть, що вже попадалися.
Квішинг: фішинг, схований у QR-код, коротка стаття довідника, автор Ілля Зав'яловКожен крок прибирає одну річ, яку ви зазвичай перевірили б.
Чому в нього окреме імʼя
Звичайне фішингове посилання можна оглянути. Наводите курсор, читаєте адресу, помічаєте, що домен не той. Уся ця звичка перестає працювати, коли адресу закодовано в узор із квадратиків: наводити нема на що і читати нічого.
Сканують зазвичай телефоном, і це змінює того, хто дивиться. Телефон показує скорочену адресу, ховає повний шлях і найчастіше перебуває поза тим захистом, що стоїть на робочому компʼютері.
Тобто термін описує спосіб доставки, а не новий вид шахрайства. Наприкінці шляху чекає та сама підроблена сторінка входу, що й завжди.
Чому поштові фільтри це пропускають
Для фільтра QR-код це картинка. Шкідлива адреса лежить шаром нижче, всередині зображення, яке сканеру треба спершу розкодувати, а багато систем досі цього не роблять.
Нападники додають тертя навмисно. Код кладуть усередину вкладеного PDF або розрізають так, щоб частина відмальовувалася лише при відкритті листа, і це ламає просте видобування.
Виходить лист, у якому посилання немає взагалі. Усі правила, написані заради переписування й перевірки посилань, пропускають його мовчки: за їхнім власним визначенням перевіряти нічого.
Друковані коди та наліпки
Фізичному варіанту пошта не потрібна. Наліпка лягає поверх справжнього коду на паркоматі, на столику в кафе, на зарядній станції або на афіші, а поверхню, яку вона закриває, ніхто й не перевіряв.
Працює це тому, що вмовляє контекст. Від паркомата ніхто не чекає фішингової сторінки, а запитана невелика сума рівно та, по яку людина й підійшла.
Дивіться на краї, перш ніж сканувати щось на вулиці. У наліпки поверх друку є виступаючий край, легка розбіжність відтінку або відставлений ріг, і ці тридцять секунд огляду і є весь захист.
Що перевірити до сканування
Подивіться на попередній перегляд адреси до того, як сторінка відкриється. Будь-який сучасний телефон на секунду показує, куди веде код, і закрити перегляд нічого не коштує, якщо домен незнайомий.
Відмовтеся від будь-якого коду, що прийшов разом із терміновістю. Сплатити сьогодні, рахунок зачиняється, посилка затримана, платіж прострочений. Терміновість стоїть там заради того, щоб прибрати паузу, а саме паузу ви й захищаєте.
Ніколи не входьте в обліковий запис через сторінку, до якої дісталися скануванням. Відкрийте застосунок або наберіть адресу руками. Одне це правило обнуляє сенс усієї техніки, бо збір паролів і є її метою.
Якщо вже відсканували
Саме сканування рідко буває шкодою. Сторінку треба відкрити і щось на ній набрати, тому код, який ви закрили одразу, зазвичай не вимагає більше нічого.
Якщо дані ввели, міняйте цей пароль з іншого пристрою і завершуйте активні сесії облікового запису. Порядок важливий: спершу відкликання, потім зміна, потім перевірка резервних налаштувань.
Якщо платіж пройшов, телефонуйте до банку тієї самої години і просіть повернення або відкликання. З невеликими сумами люди чекають, і саме тому невеликі суми й обирають.
Виявлень стало більш ніж удвічі за три місяці.
Одна й та сама атака, три способи доставки
Спосіб доставки
Що бачить захист
Що справді зупиняє
Посилання в листі
Читабельну адресу, яку можна перевірити
Прочитати домен до натискання
QR-код у тілі листа
Картинку, посилання немає
Фільтр, який розкодовує зображення
QR-код усередині PDF
Вкладення, посилання немає
Відкривати вкладення лише коли їх чекають
Наліпка поверх друкованого коду
Нічого, листа немає взагалі
Оглянути краї наліпки
Код на афіші чи листівці
Нічого, папір виглядає офіційно
Набрати адресу руками замість сканування
Рішення ухвалюється до того, як відкрилася камера, а не після.
Питання і відповіді
Чи сканування QR-коду небезпечне саме по собі?
Рідко. Сканування відкриває сторінку, а шкода вимагає, щоб ви щось на ній набрали або підтвердили платіж. Закрили перегляд через дивний домен, і на цьому все.
Чому на телефоні гірше?
Він показує скорочену адресу, ховає повний шлях і зазвичай стоїть поза захистом, який застосовується на робочому компʼютері. Та сама сторінка в настільному браузері виглядала б явно неправильною.
Чи може QR-код щось встановити сам?
На сучасному телефоні без додаткових дій ні. Реальний ризик це сторінка, яка просить увійти або заплатити, тому правило про те, що ви набираєте, а не про те, що скануєте.
Як помітити наліпку поверх справжнього коду?
Торкніться краю. У наліпки виступаючий край, часто трохи інший відтінок білого і відставлений ріг. У коду, надрукованого прямо на поверхні, нічого цього немає.
Чим сканувати безпечніше, камерою чи застосунком?
Камерою, і читайте перегляд. Сторонні застосунки-сканери часто відкривають сторінку одразу, а іноді спершу проводять її через власну адресу, і єдиний момент, коли можна було подивитися, зникає.
А якщо код у листі з банку на папері?
Ставтеся до паперу як до пошти. Відкрийте банківський застосунок самі й пошукайте те саме сповіщення там. Справжнє повідомлення є в обох місцях, а шахрайське лише на папері.