Угроза подмены QR-кода в платежах: как защитить офлайн-ритейл

Сбой происходит не в криптографии СБП, а раньше: на физической точке, где никто вовремя не заметил подмену.

Риск особенно заметен там, где код напечатан на бумаге и постоянно доступен посторонним: на стойке, столике, парковочном автомате или кассовом терминале. Внешне наклейка может выглядеть убедительно. Поэтому проверка получателя в банковском приложении и контроль самих носителей должны быть частью платёжного процесса, а не надеждой на внимательность покупателя.

QR-код сам по себе не подтверждает, кому уйдут деньги. Это делает реквизит, который приложение показывает после сканирования.

Масштаб проблемы: чем привычнее СБП, тем важнее контроль точки оплаты

Система быстрых платежей сделала оплату по QR привычной для покупателя и доступной для самых разных торговых точек. Код можно разместить там, где нет полноценной кассы с привычным терминалом: в небольшом кафе, на стойке услуг или у автомата. Для бизнеса это дополнительный способ принять оплату, для клиента — несколько действий в банковском приложении.

Но удобство физического QR зависит от того, кто контролирует его размещение. Код на бумаге можно заменить, закрыть или дополнить чужим стикером. А если наклейка находится в зоне общего доступа и за ней не присматривают, вмешательство может остаться незамеченным. Чем больше точек с такими носителями, тем важнее не просто однажды распечатать правильный код, а поддерживать понятный порядок его проверки.

Здесь есть важное различие. Статичный QR-код обычно содержит постоянные платёжные данные: например, сведения, позволяющие сформировать оплату продавцу. Динамический код создаётся для конкретной операции и может включать её параметры. Однако один только способ генерации не отменяет физическую безопасность: экран тоже можно закрыть наклейкой, а устройство или процесс оплаты могут быть скомпрометированы иным способом.

Почему физическая точка оплаты уязвима

В интернете пользователь часто может проверить адрес сайта и понять, в каком приложении или сервисе он находится. У бумажного кода такой очевидной подсказки нет. До сканирования рисунок не показывает, кто будет получателем платежа. Имя получателя и другие сведения становятся видны уже в приложении банка, но на этом этапе покупатель может торопиться и подтвердить операцию, не сверив данные с магазином.

Для подмены статичной наклейки не обязательно вмешиваться в банковское приложение или ломать платёжную инфраструктуру. Достаточно получить доступ к месту, где размещён код, и заменить его либо закрыть другим. Это не означает, что каждый QR в торговом зале опасен. Это означает, что безопасность зависит не только от банка и технологии перевода, но и от контроля над конкретным носителем.

Что называют квишингом

Квишингом называют мошенничество, в котором QR-код используется как способ привести человека к нежелательному действию. В одном сценарии он ведёт на поддельную страницу, в другом вместо ожидаемого получателя подставляются реквизиты злоумышленника. В офлайн-торговле самый наглядный вариант — чужой код, наклеенный поверх или рядом с официальным.

Термин описывает разные схемы, поэтому не стоит сводить квишинг только к фальшивому сайту. Если покупатель сканирует код и попадает на страницу оплаты, важно смотреть, кто именно указан получателем и соответствует ли он продавцу. Сам факт, что код размещён рядом с кассой, не доказывает его подлинность.

Эта таблица не заменяет инструкцию банка: интерфейсы и порядок подтверждения различаются. Но принцип остаётся одним и тем же. Если приложение показывает получателя, не совпадающего с торговой точкой, подтверждать операцию не следует. Если данные непонятны или не отображаются, лучше попросить продавца предложить другой способ оплаты.

Анатомия квишинга: как подменяют реквизиты на месте

Наиболее очевидная схема — стикер поверх официального QR-кода. Он может быть похожего размера и цвета, а иногда оформлен так, чтобы не выделяться на стойке. Покупатель видит привычную инструкцию об оплате и сканирует код. Если приложение банка затем показывает другого получателя, это повод остановиться, но пользователь может не обратить на него внимания.

Другой вариант — снять оригинальную наклейку и разместить вместо неё чужую. Такая подмена заметнее, если у бизнеса есть единый стандарт оформления и сотрудники регулярно осматривают точки оплаты. Без этого покупатель не знает, как должен выглядеть подлинный носитель. На парковках, в зонах самообслуживания и небольших торговых точках риск выше не автоматически, а потому, что код может долго оставаться без присмотра.

Наконец, мошеннический QR могут разместить самостоятельно, без замены официального. Например, рядом с автоматом или стойкой, где люди ожидают увидеть способ оплаты. В такой ситуации особенно важны контекст и проверка получателя: наличие логотипа, подписи «оплата» или соседство с торговым оборудованием ничего не гарантируют.

Бизнесу полезно заранее определить, где именно могут находиться официальные коды и как они выглядят. Если покупатель видит несколько разных наклеек, неясные инструкции или посторонний QR рядом с кассой, он должен иметь возможность быстро уточнить подлинность у сотрудника. Простая и заметная маркировка помогает, но сама по себе также не является защитой от копирования.

Почему перевод по поддельному коду не равен обычному возврату покупки

В юридической части важно не смешивать разные платёжные сценарии. Оплата через СБП может проводиться как расчёт покупателя с торговой точкой, а не как перевод между двумя физическими лицами. Конкретное устройство операции зависит от того, как продавец подключён к сервису и какие реквизиты сформированы для оплаты. Поэтому утверждение, что любой платёж по QR через СБП является переводом между физлицами или ИП, неверно.

Не стоит также обещать, что банк всегда сможет отменить уже подтверждённую операцию. Возможность возврата зависит от вида платежа и обстоятельств. В частности, обычный возврат покупки, спор о качестве товара и сообщение о мошенничестве — разные процедуры. Покупателю следует как можно скорее обратиться в свой банк и в торговую точку, сообщить о подозрительном платеже и сохранить сведения об операции. Банк может объяснить доступный порядок действий, но результат нельзя заранее гарантировать.

Сложность для пострадавшего часто связана с тем, что он сам сканирует код и подтверждает платёж в приложении. Однако само нажатие кнопки не отвечает на вопрос, было ли согласие осознанным и кто разместил подменённые реквизиты. Эти обстоятельства выясняются по материалам конкретного дела. Нельзя сводить ситуацию к формуле, будто подтверждение автоматически лишает человека возможности обратиться за защитой.

Если наклейка была подменена, важны не только банковские сведения. Полезно сохранить чек или подтверждение операции, сделать снимок места размещения кода, записать время обнаружения и обратиться к администрации точки. Если есть свидетели, их контакты тоже могут пригодиться. Фотография фиксирует то, что попало в кадр в момент съёмки; сама по себе она обычно не устанавливает, когда именно появилась наклейка и кто её разместил.

При подозрении на подмену сначала остановите оплату и сообщите сотруднику или администрации. Сканировать чужой код повторно ради проверки не нужно.

Техническая защита: от постоянной наклейки к коду под конкретную покупку

Для торговой точки динамический QR-код может снизить риск повторного использования чужих реквизитов: он формируется для конкретной операции и выводится на кассовом устройстве или дисплее. Покупатель сверяет сумму и сведения о продавце в банковском приложении. Если параметры не совпадают с покупкой, оплату следует остановить и проверить кассовый сценарий.

Это существенное отличие от постоянной распечатки, но не абсолютная гарантия. Чужая наклейка может закрыть экран, а подмена может затронуть сам процесс формирования платежа. Поэтому формулировка «подмена технически исключена» неверна. Динамический код усложняет некоторые сценарии и сокращает срок актуальности реквизитов, но бизнесу всё равно нужны осмотр оборудования и понятный порядок реагирования.

Если статичный код необходим, его следует размещать там, где сотрудники регулярно бывают, и закрепить ответственность за проверку. Важны также защищённое оформление и единый внешний вид официальных носителей. Такие меры не делают подмену невозможной, но позволяют быстрее заметить постороннюю наклейку и не оставлять её без внимания.

Что включить в работу торговой точки

Практический регламент может быть коротким, если он действительно выполняется:

1. Определить официальные места размещения. Сотрудники должны знать, где находятся QR-коды и какие из них используются для оплаты. Это помогает заметить новый или перемещённый носитель.

2. Осматривать коды и дисплеи. Проверять нужно не только сам рисунок, но и края наклейки, следы переклеивания, посторонние отметки и предметы, закрывающие экран. Частоту осмотра бизнес устанавливает с учётом режима работы и особенностей точки.

3. Сверять платёжные данные. При запуске или изменении схемы оплаты ответственному сотруднику следует проверить, как операция отображается в банковском приложении и соответствует ли она установленным реквизитам продавца. Проверка проводится по согласованной с банком процедуре, а не случайным переводом на произвольную сумму.

4. Объяснить персоналу порядок действий. Если найден подозрительный код, сотрудник должен прекратить его использование, сообщить руководителю и предупредить покупателей, пока вопрос не решён. Удалять наклейку молча и не фиксировать инцидент — плохая практика.

5. Фиксировать состояние точки. Фотографии официальных носителей и осмотров могут помочь восстановить последовательность событий. Но они не доказывают автоматически дату подмены: для этого могут потребоваться записи камер, сведения от сотрудников и другие материалы.

6. Предусмотреть альтернативу. Если QR-код вызывает сомнение или дисплей неисправен, покупатель должен иметь возможность оплатить другим способом, а не выбирать между риском и отказом от покупки.

Уголовная ответственность: квалификация зависит от обстоятельств

Подмена платёжного QR-кода может повлечь уголовную ответственность, но нельзя заранее утверждать, что любое такое дело будет квалифицировано по одной конкретной статье. Следствие и суд оценивают способ завладения средствами, роль каждого участника, наличие умысла, вид платежа и другие обстоятельства. Имеет значение и то, как именно были получены деньги: например, с банковского счёта или через иной механизм оплаты.

В зависимости от фактов могут рассматриваться нормы о краже, в том числе о хищении денежных средств со счёта, либо о мошенничестве с использованием электронных средств платежа. Это разные составы, и применимость каждого требует правовой оценки. Сам факт, что покупатель подтвердил операцию в приложении, не позволяет автоматически сделать вывод ни об отсутствии преступления, ни о наличии конкретного состава.

Для бизнеса и пострадавшего важнее не угадывать статью, а своевременно зафиксировать обстоятельства: сохранить сведения о платеже, сообщить о случившемся банку и обратиться в правоохранительные органы. Если есть камеры наблюдения, записи могут помочь установить события, но их наличие и пригодность зависят от конкретной точки. Нельзя обещать, что видеозапись или фотография обязательно покажут, когда стикер был заменён.

Размер ответственности и итоговая квалификация также определяются не по одному признаку, а с учётом всех обстоятельств дела и применимой редакции закона. Поэтому категоричные формулы о том, что подмена всегда означает кражу либо всегда является мошенничеством, вводят в заблуждение. Уголовно-правовая оценка относится к компетенции следствия и суда.

Защита начинается с контроля реквизитов

Угроза подмены QR-кода возникает на стыке платёжной технологии и физической среды. СБП может корректно обработать распоряжение, сформированное по чужому коду, если человек подтвердил его в приложении. Это не означает, что платёжная система сама по себе ненадёжна; проблема в том, что покупатель должен понимать, кому именно он платит, а торговая точка обязана контролировать свои средства приёма оплаты.

Ритейлу стоит по возможности использовать код, связанный с конкретной покупкой, и одновременно проверять, что происходит вокруг кассы и экрана. Статичные наклейки требуют понятного режима осмотра, а фотографии полезны как часть фиксации, но не как безусловное доказательство. Покупателю достаточно одного практического правила: перед подтверждением сверить сумму и получателя, а при несоответствии остановить оплату и обратиться к сотруднику.