Украсть через QR-код

Мошенники начали использовать новую схему и похищают деньги у жителей Калужской области с применением QR-кода.

Вопрос, как это происходит технически и как можно защититься от злоумышленников, пришел в нашу «Копилку» – совместный проект газеты и регионального отделения Банка России.

«Недавно прочитала, что мошенники стали похищать деньги, не используя данные карты. Достаточно, говорят, переслать QR-код. Как это возможно?» – поинтересовалась Наталья.

На вопрос читательницы отвечает заместитель начальника отдела безопасности Калужского отделения Банка России Владимир РАЗОРЕНОВ:

– Применение кьюар-кода – это технологический способ передачи информации с устройства на устройство. В нем можно зашифровать любые данные: ссылку на что-то, фотографию, таблицу, сведения о счете – все что угодно. Другой вопрос, как этими данными пользоваться.

Если говорить о финансовой сфере, с помощью кьюар-кода можно оплачивать товары и услуги, переводить деньги, а с недавнего времени некоторые банки внедрили сервис снятия наличных с помощью QR-кода. В мобильном приложении банка клиент может самостоятельно сгенерировать такой код на нужную сумму, поднести его к сканеру в банкомате и снять наличные.

Этим и стали пользоваться злоумышленники. Они звонят клиентам банков под видом сотрудников кредитной организации, сообщают, что в банк поступил несанкционированный запрос на снятие денег, и просят прислать QR-код, чтобы отменить операцию. Расчет на то, что потенциальная жертва не в курсе особенностей QR-кода и легкомысленно относится к изображению с черно-белыми квадратиками, поэтому легко может им поделиться.

Но QR-код в этом случае фактически является поручением банку на выдачу денег без ввода ПИН-кода. Поэтому, заполучив информацию, мошенники просто снимают наличные в банкоматах со счета обманутого человека.

Стоит иметь в виду, что случайно сформировать кьюар-код невозможно. Для этого нужно проделать определенную последовательность действий. В зависимости от конкретного банка она может быть разной, но выглядит это примерно так: надо открыть приложение банка, выбрать действие, например, оплатить товары или снять деньги с помощью кьюар-кода. Нажать кнопку «Сформировать QR-код». При этом везде будет написано, для чего именно этот кьюар-код необходим: например, для оплаты товара или услуги, для снятия наличных.

Мошенники с помощью социальной инженерии вводят в заблуждение, обманом выведывают конфиденциальную информацию. А кьюар-код с данными по счету, безусловно, относится к секретной информации, которую человек обязан беречь и не передавать посторонним лицам ни под каким предлогом, не пересылать ни в какой чат-бот, не отправлять скриншот. Как бы ни формулировали мошенники запрос – угроза счету, на ваше имя пытаются взять кредит, срочно переведите деньги на безопасный счет – передавать данные нельзя.

Помните, что настоящие сотрудники банков никогда не запрашивают у клиентов QR-код. Никогда не делитесь им с незнакомыми людьми, не храните его изображение в мобильных устройствах или в распечатанном виде!

…Любой читатель нашей газеты или сайта может получить консультацию от специалистов банковской сферы с помощью проекта «Копилка». Достаточно прислать интересующий вопрос на нашу электронку gazetaznamya@gmail.com или воспользоваться почтовым адресом: 248600, г. Калуга, ул. Марата, 10. Ответ будет опубликован на страницах издания и в его интернет-версии.

Фото Игоря РУЛЁВА и пресс-службы Калужского отделения Банка России.