QR-код арқылы жасалатын алаяқтық: Қазақстандағы схемалар мен қорғаныс

QR-кодтар ресторандар мәзірінен әлдеқайда асып кетті — олар сатып алуларды төлеуге, жеке басты растауға, мемлекеттік қызметтер алуға пайдаланылады. Қазақстанда Kaspi QR жүз мыңдаған нүктелерде төлемнің стандартына айналды. Сонымен қатар QRishing (QR-phishing) — жалған QR-код жәбірленушіні фишингтік сайтқа апаратын немесе рұқсат етілмеген төлемді бастататын жаңа алаяқтық бағыты — дамуда. ҚР ІІМ деректері бойынша, 2023 жылы QR-алаяқтықпен байланысты 1 200-ден астам мәлімдеме тіркелді.

QR шабуылдары қалай жұмыс істейді

Офлайн нүктелерінде QR-кодты ауыстыру

Алаяқ кафе, дүкен, тұрақ автоматы немесе банкоматтағы түпнұсқаның үстіне жалған QR-кодты жапсырады. Сатып алушы тауар немесе қызметке төлеп жатырмын деп ойлап сканерлейді — бірақ ақша зиянкеске кетеді.

Фишингтік хаттар мен парақшалардағы QR

Кіреберістегі парақша: «ТКШ-ге субсидия алу үшін QR-кодты сканерлеңіз». PDF-тегі «шот» ішіндегі QR бар электрондық хат. Код жалған сайтқа апарады, онда ЖСН, карта деректері немесе ЭЦҚ сұралады.

Алаяқтық хабарландырулардағы QR-кодтар

OLX-те немесе WhatsApp-та сатушы сатып алушыдан «жеке басты растау» немесе «тауарды брондау» үшін QR-кодты сканерлеуін сұрайды. Код төлемді бастатады немесе зиянкеске аккаунтқа кіруге мүмкіндік береді.

Kaspi QR-ға шабуылдар

Схема: алаяқ бөтен Kaspi-аккаунтын ұстап алады және ірі соманы алуға QR жасайды. Жәбірленушіге «мәмілені растау» өтінішімен жібереді. Жәбірленуші сканерлейді — және «қабылдап жатыр» деп ойлай отырып, ақша аударады.

«Kaspi Bank деректері бойынша, 2023 жылы Kaspi QR желісіндегі жалған QR-кодтармен байланысты инциденттер саны 2022 жылмен салыстырғанда 67%-ға өсті. Банк алушыны тексерудің қосымша алгоритмдерін енгізді.»

QR-алаяқтықтан қалай қорғануға болады

1. Сканерлегеннен кейін URL-ді тексеріңіз. «Өту» батырмасын баспас бұрын мекенжайды мұқият оқыңыз: ресми Kaspi әрқашан kaspi.kz, egov — egov.kz. Кез келген ауытқу — тоқтаңыз.
2. Kaspi QR-мен төлеуден бұрын алушыны тексеріңіз. Kaspi қосымшасында растаудан бұрын компания атауы немесе алушының есімі үнемі көрсетіледі. Сатушыға сәйкес келетініне көз жеткізіңіз.
3. Физикалық тасымалдаушылардағы QR-ды қарап шығыңыз. Беттің үстіне жапсырылған жапсырма, ығысқан код, скотч іздері — ауыстыру белгілері.
4. Сенімсіз дереккөздерден QR сканерлемеңіз. Кіреберістегі парақшалардағы, белгісіздерден SMS-тегі, спам-хаттардағы QR — сенбеңіз.
5. Кіріктірілген сканерді пайдаланыңыз. iPhone камерасы мен Google Camera өтпес бұрын URL-ді көрсетеді — мекенжайды үнемі оқыңыз.

Бизнес үшін: QR-терминалдарды қорғау

• Кассалардағы және стендтердегі физикалық QR-кодтарды үнемі тексеріңіз — ауыстырылмағанына көз жеткізіңіз.
• Ауыстырудан қорғанысы бар QR-стендтерді пайдаланыңыз (ламинирлеу, вандалға қарсы бекіту).
• Әрбір кіріс төлемге хабарландыру орнатыңыз — ауытқулар бірден байқалады.

Kaspi және QR-төлемдер қауіпсіздігі туралы толығырақ — Kaspi мен QR-алаяқтық: талдау мақаласында. QR-кодтар апаратын фишингтік сайттар туралы — Фишингтік сайтты қалай тану керек материалында.

QR-код — ыңғайлы құрал, алаяқтардың жаңа қаруына айналды. Негізгі ереже: төлемді растаудан бұрын URL мен алушыны әрқашан тексеріңіз. Бір секундтық назар — ақшаны жоғалтудан сенімді қорғаныс.