Краткият отговор: QR кодът не е доказателство, че линкът е безопасен. При т.нар. quishing измамникът скрива фишинг адрес в QR код и разчита телефонът да отвори фалшива страница за вход, плащане или доставка. Най-сигурната реакция е да не сканирате неочакван код, да прегледате адреса преди отваряне и при съмнение сами да влезете в официалното приложение или сайт.
Как работи QR фишингът
Класическият фишинг показва линк, който понякога издава измамата с правописна грешка или странен домейн. QR кодът скрива адреса зад изображение. Камерата разчита кода, телефонът предлага линк, а потребителят вижда истинската дестинация едва ако погледне внимателно визуализацията.
Федералната търговска комисия на САЩ предупреждава, че измамници поставят собствени QR стикери върху кодове за паркиране или ги изпращат с измислена спешност — недоставена пратка, проблем с профил или подозрително влизане. Целта е жертвата да въведе парола и платежни данни във фалшив сайт или да инсталира злонамерено приложение.
Къде най-често трябва да сте нащрек
- Паркомати и зарядни станции: проверете дали върху оригиналната табела няма залепен втори стикер.
- Имейл и SMS: QR кодът може да заобиколи навика ви да проверявате видимите линкове.
- Фактури и куриерски известия: не плащайте през код от непоискано съобщение.
- Менюта, плакати и събития: физическото място не гарантира, че кодът не е подменен.
- Служебен вход: фалшива страница на Microsoft 365 или Google може да поиска парола и код за потвърждение.
Практична проверка през 2026 г.: преди да отворите QR линк
- Погледнете самия стикер. Ръбове, различен печат или втори слой са причина да спрете.
- Прочетете адреса в предварителния преглед. Търсете разменени букви, допълнителни думи и непознат домейн. Катинарът и HTTPS не доказват, че сайтът е истински.
- Не действайте под натиск. Съобщение за глоба, блокиран акаунт или изтичаща пратка трябва да се провери по независим канал.
- Отворете официалното приложение. За банка, куриер, паркинг или облачна услуга започнете от приложението или адрес, който вече познавате.
- Не инсталирайте APK или профил. QR код за плащане или вход няма разумна причина да изисква приложение извън официалния магазин.
- Проверете получателя на плащането. Сумата и името трябва да съвпадат преди потвърждение.
Тези стъпки допълват, а не заменят основната защита срещу често срещани онлайн измами и редовната дигитална хигиена на телефона и акаунтите.
Сканирали сте подозрителен код: какво да направите
Само сте отворили страницата
Затворете я и не разрешавайте известия, изтегляне или инсталация. Обновете браузъра и операционната система. Ако файл е свален, не го отваряйте и го изтрийте.
Въвели сте парола
Отворете истинския сайт ръчно, сменете паролата, прекратете непознатите сесии и проверете методите за възстановяване. Ако същата парола се използва другаде, сменете я и там. Преминете към уникални пароли, passkeys и многофакторна защита.
Дали сте платежни данни или сте потвърдили превод
Свържете се незабавно с банката през официалния номер, блокирайте картата при нужда и оспорете операцията според указанията ѝ. Запазете съобщението, адреса и снимка на кода като доказателство, без да отваряте линка отново.
CISA препоръчва подозрителните съобщения да се разпознават, докладват и изтриват, а искането да се проверява чрез познат официален канал.
Как фирмите да ограничат риска
- използвайте собствен кратък домейн, който клиентът лесно разпознава;
- печатайте адреса и целта на кода до самото изображение;
- проверявайте физическите стикери и табели по график;
- не обучавайте служителите да приемат QR код като доверен втори фактор;
- настройте защита на служебната поща и правила за вход от непознати устройства;
- осигурете ясен канал за докладване на подменен код или фалшива страница.
За малък офис си струва паралелно да се направи и проверка на защитата на Wi‑Fi мрежата, защото фишингът често е само първата стъпка към по-широк достъп.
Какво QR кодът не може да ви каже
Кодът не удостоверява кой го е създал, дали е подменен и какво ще се случи след отваряне. Антивирусната програма може да блокира част от опасните страници, но няма да спре доброволното въвеждане на парола в убедително копие. Решаващи остават адресът, контекстът и независимата проверка.
Често задавани въпроси
Опасно ли е само сканирането?
Обикновено рискът нараства при отваряне на линка, въвеждане на данни, разрешаване на достъп или инсталиране на файл. Все пак не продължавайте, ако адресът е непознат.
Безопасен ли е QR код в PDF фактура?
Не автоматично. Проверете подателя по независим канал, домейна и данните на получателя преди плащане.
Може ли QR код да открадне MFA код?
Фалшива страница може да поиска паролата и еднократния код и да ги използва веднага. Устойчивите на фишинг passkeys и хардуерни ключове намаляват този риск.
Трябва ли специално приложение за сканиране?
В повечето съвременни телефони камерата е достатъчна. Не инсталирайте случаен QR скенер от реклама; той може да добави ненужни разрешения и риск.
Извод
Quishing работи не защото QR кодът е магически опасен, а защото скрива адреса и ускорява реакцията. Забавете действието с десет секунди: огледайте кода, прочетете домейна и при пари или вход отворете услугата сами. Това е малка проверка с голям ефект.
