Как устроена подмена QR-кода
QR-код — картинка с зашитой внутри ссылкой или реквизитами. Глазами её не прочитать, поэтому человек доверяет не содержимому, а месту: кассе, паркомату, квитанции. Мошенник заменяет настоящий код своим — деньги уходят на его счёт, ссылка ведёт на его сайт.
Схемы растут, потому что антифрод банков научился ловить телефонных «сотрудников безопасности», а оплата по QR выглядит как добровольный перевод. По опросу, опубликованному в апреле 2026 года, с QR-мошенничеством за год столкнулись 18% россиян (годом ранее — 11%).
Основные схемы в 2026 году
Наклейка поверх настоящего кода
- Парковки и самокаты. Поверх кода на паркомате или на раме самоката клеится наклейка. Платёж уходит мошеннику, а штраф за неоплаченную парковку приходит вам.
- Кафе, ларьки, автоматы. Стикер на стойке у кассы, на столике, на вендинговом аппарате.
- Крипто-терминалы и обменники. Табличка «аппарат неисправен, переведите на этот адрес» с поддельным QR. Перевод криптовалюты отменить нельзя.
QR в объявлениях, квитанциях и «штрафах»
- Бумажные квитанции за ЖКУ, «штрафы ГИБДД», «долг по налогам» в почтовом ящике — самый массовый канал: 44% столкнувшихся получили именно бумажку.
- Объявления в подъездах и на остановках о «гарантированных выплатах»: код ведёт в чат-бот, который под видом оформления пособия собирает паспорт и данные карты. Об этой схеме предупреждал Банк России.
Quishing — QR в письмах
Ссылку в письме антиспам проверяет, картинку — нет. Поэтому QR вставляют в тело письма или PDF: «подпишите документ», «счёт на оплату». По данным одного из антивирусных вендоров, число перехваченных писем с вредоносными QR выросло с ~47 тыс. в августе 2025 до ~250 тыс. в ноябре 2025 — более чем впятеро за полгода. Расчёт на сканирование телефоном, где защиты меньше, чем на рабочем ПК.
QR «для возврата» и крипто-переводы
- «Возврат средств»: вам звонят или пишут от имени магазина/маркетплейса, просят отсканировать код, чтобы «получить возврат». На деле код запускает перевод с вашей карты или привязывает её к чужому кошельку.
- Криптовалюта: сайты-генераторы QR подменяют адрес кошелька на свой; при копировании текстом адрес верный, подмена — только в картинке.
Как распознать поддельный QR
- Наклейка поверх наклейки: неровные края, другой оттенок бумаги, пузырь под плёнкой, код на самокате/паркомате не на штатном месте.
- Перед переходом смотрите на адрес, который показывает камера. Сокращённые ссылки, домены с опечатками и лишними дефисами, домен не в зоне .ru у госоргана — стоп.
- Получатель платежа — физлицо, а не организация. На кассе кафе это почти всегда подмена.
- Сумма не совпадает с чеком, валюта или название магазина другие.
- Страница просит ввести полные данные карты, код из СМС или установить приложение «для оплаты» — платёж по СБП так не работает.
- Квитанцию с QR проверяйте в официальном приложении госуслуг или банка: если начисления там нет — бумажка фальшивая.
С 1 сентября 2026 года поэтапно вводится универсальный платёжный код (закон № 248-ФЗ): его формирует НСПК, банки передают торговым точкам, код ведёт на страницу с выбором способа оплаты. Первыми переходят системно значимые банки и продавцы с выручкой свыше 120 млн ₽ в год. Касса упростится, но наклейку поверх кода это не отменяет — получателя и сумму проверять придётся.
Что делать, если уже заплатили
- Сразу в банк. Номер с обратной стороны карты: сообщите о переводе без согласия, заблокируйте карту, если вводили данные, попросите зафиксировать обращение и отозвать платёж.
- Chargeback. Работает только для оплаты картой на сайте. Перевод по СБП физлицу оспорить почти нельзя — он сделан по вашему распоряжению; но при быстром обращении банк получателя может заморозить счёт.
- Заявление в МВД. По ст. 159 УК РФ (мошенничество), при доступе к вашему аккаунту/банку — также ст. 272 УК РФ. Приложите фото наклейки, скриншоты сайта, выписку по счёту. Заявление можно подать через дежурную часть или онлайн.
- Не стирайте телефон. Не удаляйте историю браузера, переписку и установленные приложения — это доказательства. Их фиксирует экспертиза.
- Уведомите площадку — парковку, кикшеринг, кафе, — чтобы сняли наклейку и зафиксировали инцидент.
Что фиксирует экспертиза телефона
В споре с банком, в суде или при проверке в полиции ключевой вопрос — что и когда произошло на устройстве. Эксперт работает с копией данных и фиксирует:
- Факт и время сканирования. Журналы камеры и штатного сканера, системные события, кэш приложения банка: когда код был распознан и какая строка в нём содержалась.
- Переход по ссылке. История и кэш браузера, редиректы с сокращённой ссылки на конечный домен, время сессии.
- Ввод данных и платёж. Уведомления банка, СМС и push с кодами, время формирования перевода, сопоставление с выпиской.
- Установка приложения. Дата и источник (магазин или сторонний APK), выданные разрешения (СМС, спецвозможности, оверлей), признаки удалённого управления.
- Хронологию. Сканирование → переход → ввод → списание. Она показывает, что перевод инициирован подменённым кодом, а не был осознанным.
Заключение само по себе деньги не возвращает. Оно подтверждает факты: время сканирования, сторонний домен, установку приложения после перехода. Для банка это аргумент против «добровольного» перевода, для полиции — основание для проверки, для суда — доказательство (ст. 79, 86 ГПК РФ при назначении судом).
Кто отвечает, если наклейку подменили на кассе
Клиент заплатил «вам», а деньги не пришли. Что важно:
- Деньги ушли третьему лицу — оплата магазину не состоялась. Формально покупатель платит ещё раз, но по ЗоЗПП продавец обязан дать достоверную информацию о способе оплаты: если наклейка висела неделю и никто не проверял, суд может встать на сторону покупателя.
- Осматривайте кассовые QR ежедневно, фиксируйте фото штатного кода, используйте код на экране терминала вместо распечатки, где возможно.
- Нашли подмену — фото, акт, заявление в полицию от организации. Это снимает подозрение в соучастии и даёт основание вернуть деньги клиенту.
- При претензии покупателя независимая экспертиза его телефона и вашего кода покажет, куда вёл каждый QR и когда появилась подмена.
Три типичные ситуации
Самокат во дворе. Код на раме, ввод карты «для старта аренды», списание 4 900 ₽. Экспертиза показала: домен из QR не принадлежит кикшерингу, страница открыта за минуту до списания, штатное приложение не запускалось. Банк принял оспаривание.
Квитанция в почтовом ящике. «Долг за капремонт» оплачен по QR на бумажке — перевод физлицу в другом регионе. Деньги не вернули, но выписка, фото квитанции и фиксация перехода легли в основу заявления в МВД.
Кафе и стикер на стойке. Три претензии от клиентов за день. Экспертиза подтвердила: код на стойке вёл на перевод физлицу, в терминале — на счёт ИП; наклейка появилась накануне. Претензии закрыты возвратом, заявление подано от ИП.
Частые вопросы
Банк отказал в возврате: «перевод добровольный». Что делать?
Запросите письменный отказ, подайте жалобу в Банк России через интернет-приёмную и приложите доказательства подмены — фото наклейки, заключение по телефону. Это не гарантирует возврат, но меняет позицию банка.
Я только отсканировал, но не платил. Есть риск?
Если не вводили данные и не ставили приложение — минимальный. Проверьте список установленных приложений и активные сессии в банке. При сомнениях смените пароли.
Сколько хранятся следы на телефоне?
Кэш и журналы — от дней до недель. Чем раньше снята копия данных, тем полнее картина; до экспертизы телефон не сбрасывать и не обновлять.
Нужна ли экспертиза для заявления в полицию?
Нет, заявление примут и так. Но заключение ускоряет проверку: следователю не придётся самому разбираться, куда вёл код.
Куда обращаться в Уфе
Заплатили по подменённому QR или получили претензию как продавец — зафиксируйте следы, пока они не исчезли. GadgetЭксперт проводит досудебную экспертизу телефона (от 7 000 ₽) для спора с банком или контрагентом и судебную экспертизу по определению суда (от 15 000 ₽). Подробнее — в разделе «Цены и экспертизы». GadgetЭксперт, Уфа — контакты в шапке сайта.
