Поддельный QR-код: как проверить получателя до оплаты и что делать после перевода

Поддельный QR-код — это чужие реквизиты в удобной упаковке. Мошенники подменяют наклейку у кассы, присылают «QR для оплаты доставки» в мессенджер или печатают листовки с кодом на счёт подставного лица. Механика оплаты при этом честная: приложение банка покажет получателя перед подтверждением. Вся защита сосредоточена в одном шаге — прочитать, кому уходит перевод, на экране подтверждения, и не подтверждать, если имя не совпадает с продавцом.

Второй, более коварный вид — QR-код как ссылка. Камера телефона открывает страницу, которая имитирует оплату или «проверку доставки», и просит данные карты. Здесь проверки получателя в приложении нет — защита строится на отказе вводить платёжные данные на страницах, открытых по QR из улицы, листовок и чатов.

Два вида QR-кодов и риски у каждого

Вид QR-кода	Где встречается	Что происходит при сканировании	Правило
QR для оплаты (платёжный)	Кассы, витрины, чеки продавцов	Приложение банка показывает получателя и сумму	Сверить имя получателя с продавцом, подтвердить
QR-код как ссылка	Листовки, стикеры, объявления, чаты	Камера открывает веб-страницу	Не вводить данные карты; если оплата нужна — искать официальный канал
QR из мессенджера «от доставки»	Чаты с «курьером» и «продавцом»	Оплата на счёт подставного лица	Оплату доставке делать через приложение площадки
QR в письме «от банка»	Фишинговые рассылки	Страница ввода логина и пароля	Банк не присылает QR для входа; вход — только через приложение

Различие между платежным QR и ссылкой — главное в теме. Платёжный QR нельзя «подменить ссылкой»: данные получателя зашиты в коде и показываются приложением банка. Его подмена возможна только физически — наклейка поверх настоящей наклейки у кассы, и защита здесь одна: взгляд на имя получателя на экране подтверждения.

QR-ссылка опаснее тем, что имитирует знакомый интерфейс: страница «оплаты парковки», «отслеживания посылки», «проверки доставки». Признак всегда один — страница просит данные карты, логин или код. Оплата парковки и доставки в Казахстане работает через приложения банков и официальные сервисы: если QR ведёт на страницу с полями карты, это не оплата, а сбор реквизитов.

Признаки подмены: что проверять до подтверждения

• Имя получателя на экране подтверждения. Должно совпадать с продавцом — названием ИП или компании. «Имя фамилия» вместо организации на витрине магазина — повод остановиться и спросить продавца.
• Сумма. Пробитая кассой сумма совпадает с экраном приложения. Расхождение — признак другой операции.
• Состояние наклейки. Код наклеен поверх другого, перекошен, распечатан на домашнем принтере на листе А4 — на парковках и ярмарках это рабочий признак.
• Запрос данных карты. Настоящая QR-оплата не спрашивает номер карты, срок и CVC: реквизиты подставляет приложение банка.
• Предупреждение приложения. Банковские приложения помечают подозрительные переходы; «Продолжить» через предупреждение — осознанный риск, а не мелочь.

Практика проверки занимает секунды и не мешает торговле: сканируете — смотрите на имя — подтверждаете. Отказаться от оплаты на этом шаге ничего не стоит; отменить перевод после подтверждения не выйдет.

Отдельная деталь — чем именно вы сканируете. Оплата через приложение банка идёт внутри банковского интерфейса: получателя показывает и подтверждает банк, и подделать этот экран продавцу нечем. Камера телефона или универсальный сканер открывает содержимое кода вне банка — ссылку, страницу, контакт для перевода. Правило простое: платёжные QR сканируются банковским приложением, всё остальное — повод остановиться и понять, что именно открывается, до того как введены любые данные.

Если платёж уже ушёл по поддельному коду

Перевод по QR мгновенный: после подтверждения деньги на счёте получателя, и «отмены» у операции нет. Дальше работает линия разбора: обращение в банк по горячей линии с чеком и скриншотами, заявление о мошеннической операции; при признаках преступления — заявление в полицию, онлайн через eGov или лично. Антифрод-центр НБ РК приостанавливает переводы с признаками мошенничества (ст. 25-1 Закона РК «О платежах и платёжных системах») — шанс остановить деньги зависит от времени между переводом и обращением, поэтому звонок в банк идёт сразу, а не «когда будет время».

Для карточных операций работает оспаривание по правилам платёжных систем с ограниченным сроком подачи; порядок сборки доказательств описан в материале о спорной операции и chargeback. Если платёж не прошёл, потому что банк остановил его сам — это антифрод-защита, и её разбор устроен иначе: см. статью о приостановке операции.

Данные карты, введённые на фишинговой странице, — отдельный сценарий: блокировка карты через приложение банка сразу, затем разбор списаний. Если вместе с картой скомпрометирован телефон или коды — начните с материалов об утечке данных и SIM-swap.

Продавцам: как не дать подменить свой код

Подмена наклейки бьёт и по покупателям, и по продавцу: деньги уходят не ему, а доверие — к способу оплаты в целом. Рабочие меры: печатать QR на фирменном носителе и крепить под прозрачную накладку; проверять коды у кассы при открытии смены — одна секунда взгляда на имя получателя из своего приложения; для выездной торговли — показывать QR с экрана устройства, а не стикером; при смене реквизитов менять распечатку в тот же день.

Если подмена обнаружилась: снять наклейку, сообщить в банк о мошенническом получателе — заявление помогает разбору по всем жертвам этой наклейки, — и уведомить администрацию площадки или парковки. Покупатель, который оплатил по подменённому коду, должен знать, что его обращение в банк фиксирует получателя — это материал для полиции независимо от суммы.

Могут ли украсть данные карты через QR-код?

При оплате в приложении банка — нет: данные карты не вводятся, получателя показывает приложение. Риск появляется, когда QR открывает веб-страницу с полями для карты, логина или кода — это фишинговая страница, и вводить туда ничего не нужно.

Как проверить, что QR-код настоящий?

Отсканируйте его банковским приложением и посмотрите на экране подтверждения имя получателя и сумму. Имя должно совпадать с продавцом — организацией или ИП, у которого вы покупаете. Если приложение открывает веб-страницу с полями карты — это уже не оплата по QR, а сбор реквизитов.

Мне прислали QR-код в чате для оплаты доставки. Платить по нему?

Осторожно: аккаунт знакомого «продавца» или «курьера» могли угнать, а реквизиты в коде — подставные. Оплату доставки и заказов делайте через приложение площадки, где получателя видит платформа. Если платите по коду из чата — сначала подтвердите по телефону по известному номеру, что счёт действительно этот.

Можно ли отменить перевод по QR-коду?

Нет: перевод мгновенный, и после подтверждения «кнопки отмены» не существует. Возврат возможен только если получатель вернёт деньги добровольно, банк добьётся разбора через антифрод-процедуры или деньги остановит полиция. Поэтому проверка получателя до подтверждения — единственная надёжная точка защиты.

Я уже перевёл деньги по поддельному QR. Что делать в первую очередь?

Немедленно позвоните в банк по номеру с карты: опишите операцию, приложите чек и скриншоты — Антифрод-центр приостанавливает переводы с признаками мошенничества, и скорость обращения влияет на результат. Затем заявление в полицию — онлайн через eGov или лично, с теми же доказательствами.

У меня небольшой бизнес: как защитить свой QR-код от подмены?

Печатайте код на фирменном носителе под прозрачной накладкой, проверяйте имя получателя со своего приложения при открытии смены, для выездной торговли показывайте QR с экрана устройства вместо стикера. При смене реквизитов меняйте распечатку в тот же день, а о найденной подмене сообщайте в банк — заявление фиксирует мошеннического получателя для разбора по всем пострадавшим.

Источники и дата проверки

Rahmet Bank News не заменяет юридическую консультацию. Порядок оспаривания операций уточняйте в правилах вашего банка и платёжной системы.