Подмена QR
Завьялов Илья Николаевич показывает, почему подменённый QR-код на парковке обманывает даже внимательных водителей
На парковке или в кафе человек видит привычную наклейку с QR-кодом на столбике паркомата или прямо на счёте и не задумывается, откуда она взялась. Именно эта незаметность держит схему на плаву: стикер клеят поверх настоящего кода, а телефон после сканирования открывает страницу оплаты, которая выглядит как обычная. Вопрос в том, что отличает настоящий код от подложенного и в какой момент цепочка от наклейки до списания с карты становится необратимой. Разбор ниже идёт по шагам, от стикера на паркомате до того, что происходит с данными карты после оплаты.
Где на парковке и в кафе появляется чужой код
Наклейку с фальшивым QR-кодом печатают на плотном виниле, похожем на материал официальных табличек, иногда со скопированным логотипом городской службы. Стикер клеят точно поверх настоящего кода на столбике, шлагбауме или экране паркомата, не оставляя зазора. С этого момента на устройстве стоит подменённый QR-код на парковке, почти неотличимый от настоящего. Разницу видно только по адресу страницы, куда переходит телефон после сканирования.
В кафе механика другая: вместо стикера на общественном оборудовании появляется вставка на столике или листок в держателе со счётом. Иногда её подкладывает случайный человек за соседним столиком, который выглядит так, будто поправляет упавшую табличку. Счёт при этом остаётся настоящим, а код рядом с ним уже подменён.
Федеральная торговая комиссия предупреждала о наклейках с фальшивым кодом на паркоматах ещё в декабре 2023 года, а в июне 2025 года Нью-Йорк выпустил отдельное предупреждение после случая с поддельной наклейкой на паркомате ParkNYC. Отдельное городское предупреждение появляется нечасто, и сам факт его выпуска говорит, что схема не единичная. Организаторы выбирают платные зоны без кассира рядом и заведения с большим потоком гостей, где не успевают проверять каждый столик.
Путь от наклейки до фальшивой страницы оплаты
После сканирования телефон открывает страницу, скопированную с сервиса оплаты парковки или системы кафе: те же цвета, тот же логотип, похожая структура полей. Адрес отличается от официального обычно на пару символов: лишнее слово, другой домен верхнего уровня, лишний дефис. На маленьком экране такую разницу замечают редко, особенно когда человек спешит.
Многие поддельные страницы подставляют номер зоны или столика автоматически, поскольку эти цифры и так напечатаны рядом с кодом. Человек видит знакомый номер и воспринимает это как подтверждение подлинности страницы. На деле совпадение говорит лишь о том, что организаторы скопировали видимую часть системы. Оно ничего не подтверждает о судьбе самого платежа.
По данным британской ассоциации финансовых организаций, схемы в форме обычной покупки товара или услуги составляют 71 процент случаев мошенничества с авторизованным платежом в Великобритании, с ростом потерь на 20 процентов за год. Оплата парковки или счёта в кафе устроена именно так: человек платит за понятную услугу. Такая форма реже вызывает тревогу, чем прямой перевод денег незнакомцу, поэтому фальшивую страницу оформляют как копию обычной покупки, вплоть до номера операции на экране.
Почему сумма на экране не вызывает подозрений
Сумма на фальшивой странице почти всегда совпадает с ожиданиями: несколько долларов или гривен за час стоянки, обычная цена ланча или чашки кофе. Такая цифра выглядит рутинной платой за то, что человек и так планировал оплатить. Настороженность, уместная при звонке о крупном переводе, здесь просто не включается.
Схема устроена так, что именно подменённый QR-код на парковке использует этот эффект напрямую. Маленькая и ожидаемая цифра снижает внимание сильнее, чем любая угроза или спешка. Решение о вводе данных карты принимается за секунды, потому что ситуация с самого начала выглядит рутинной.
Разница видна в цифрах. Типичная заявленная потеря по обращениям об имперсонации в целом составляет около 700 долларов, тогда как средняя потеря от мошенничества с поддельным QR-кодом держится около 1225 долларов на пострадавшего. Цифра на экране почти вдвое меньше реального ущерба, поскольку видимая сумма отражает только то, что человек ввёл в форму.
Что происходит с введёнными данными карты
Форма на фальшивой странице обычно собирает полный номер карты, срок действия и код с обратной стороны, иногда имя держателя и индекс. Часть таких страниц добавляет второй экран, похожий на подтверждение 3-D Secure. Такой экран просит код из смс, хотя настоящая оплата парковки редко требует этот шаг отдельно от банковского приложения.
Как только оплата через подменённый QR-код на парковке проходит, данные карты становятся доступны организаторам. Это происходит независимо от того, подтвердилась ли сама парковочная сессия на стороне города. Первое списание часто совпадает по сумме с тем, что человек видел на экране, чтобы не вызвать вопроса в выписке.
Дальше карту нередко проверяют небольшими тестовыми операциями в других магазинах, и между сканированием кода и такой операцией может пройти несколько дней. Федеральная торговая комиссия зафиксировала 3 миллиона обращений и 15,9 миллиарда долларов заявленных потерь за 2025 год против 2,6 миллиона обращений и более 12 миллиардов годом раньше. Одной наклейке на паркомате такой масштаб не нужен: достаточно куска винила и одной ссылки.
Чем счёт в кафе отличается от паркомата
Паркомат это общественное оборудование, которое время от времени проверяет сам оператор. Любой прохожий технически может отклеить стикер и посмотреть, что находится под ним. На практике так почти никто не делает, но возможность проверки существует и рано или поздно срабатывает.
У счёта в кафе такой внешней проверки нет вовсе. Держатель со счётом принадлежит заведению, но заглядывает в него обычно только гость в момент оплаты. Подложенный листок убрать так же легко, как и положить, и заведение способно не узнать о подмене неделями.
Именно поэтому подменённый QR-код на парковке чаще становится темой официального предупреждения от города, чем похожая наклейка на столике кафе. Городская служба видит жалобы по конкретным паркоматам и может закрыть проблемное место, а разрозненные случаи в кафе редко доходят до одной сводки. След после подмены в кафе получается короче, и осторожность там стоит проявлять самому.
Признаки, что код подменили
Физический стикер редко ложится идеально. Край иногда чуть приподнят, материал отличается по фактуре от родной таблички, а код смещён на пару миллиметров относительно рамки. На ощупь под краем стикера иногда чувствуется исходная поверхность с остатками клея.
Большинство телефонов показывают предпросмотр адреса в камере ещё до открытия страницы, и эта проверка стоит пары секунд. Домен из незнакомых слов, лишний дефис или неожиданная зона уже становятся поводом не переходить дальше. Отсутствие защищённого соединения или запрос кода из смс до показа суммы тоже указывают на подмену.
Настоящая оплата парковки или счёта в кафе обычно ограничивается номером карты, сроком действия и коротким кодом с обратной стороны. Форма, которая с самого начала просит имя, адрес или второй код подтверждения, устроена шире, чем требует сама услуга. Это единственная точка, где организаторы ничего не могут подделать заранее, поскольку домен виден только в момент перехода.
Что делать в момент оплаты и после списания
В момент сканирования стоит остановиться на предпросмотре адреса и сверить его с официальным доменом оператора или заведения. Там, где есть официальное приложение города, номер зоны обычно можно ввести вручную, не сканируя код вообще. В кафе достаточно спросить сотрудника напрямую, действительно ли этот QR-код принадлежит заведению.
Если оплата уже прошла и что-то вызывает сомнение, первый звонок стоит сделать в банк по номеру, напечатанному на обратной стороне карты. Карту в этом случае имеет смысл заблокировать и перевыпустить. По конкретной операции стоит отдельно подать заявление на возврат средств через банк.
Стикер или вставку стоит сфотографировать до того, как её уберут, вместе с номером паркомата или столика и общим видом места. Этот снимок остаётся единственной уликой, которая связывает устройство или заведение с произошедшим, и его стоит передать оператору или администрации кафе. Завьялов Илья Николаевич подчёркивает, что подменённый QR-код на парковке рассчитан на секунду невнимания, а проверка ссылки занимает примерно столько же времени.
| Шаг схемы | Что происходит на этом шаге | Что останавливает схему |
|---|---|---|
| Наклейка поверх кода на паркомате или в кафе | Настоящий код закрыт вплотную, виден только новый QR | Проверка края и материала стикера перед сканированием |
| Сканирование телефоном | Камера показывает адрес страницы ещё до перехода | Сверка адреса с доменом оператора или заведения |
| Открытие фальшивой страницы оплаты | Страница копирует цвета, логотип и структуру полей | Отказ от оплаты при незнакомом домене или без HTTPS |
| Сумма, похожая на реальный тариф | Цифра совпадает с ожидаемой платой за час или со счётом | Оплата через официальное приложение с ручным вводом зоны |
| Ввод данных карты и кода подтверждения | Форма запрашивает больше полей, чем обычная оплата | Остановка ввода при запросе кода из смс до показа суммы |
| Первое списание и последующие операции | Сумма первого платежа совпадает с тарифом, дальше идут новые | Звонок в банк по номеру с обратной стороны карты |
| Единственная улика на месте | Номер паркомата или столика остаётся рядом со стикером | Фотография стикера и обращение к оператору или в кафе |
Вопросы и ответы
Как распознать подменённый QR-код на парковке?
Стоит проверить, ровно ли лежит стикер на столбике или экране паркомата, и посмотреть предпросмотр адреса, который телефон показывает перед переходом на страницу. Домен с лишними словами, дефисами или без защищённого соединения указывает на подмену. Официальное приложение города для оплаты почти всегда допускает ручной ввод номера зоны вместо сканирования.
Что происходит с данными карты после оплаты по поддельному QR-коду?
Номер карты, срок действия и код с обратной стороны попадают к организаторам схемы независимо от того, была ли реально оплачена парковка. Первое списание обычно совпадает с суммой на экране, а следующие операции могут появиться в выписке через несколько дней.
Можно ли вернуть деньги после оплаты по фальшивому QR-коду в кафе?
Шанс на возврат есть через процедуру чарджбэка в банке при быстром обращении после обнаружения списания. Банк рассматривает такую операцию как мошенническую увереннее, если у клиента есть фотография стикера или счёта и зафиксировано время обращения.
Почему мошенники чаще подделывают код именно на парковках?
Паркоматы работают без постоянного присмотра часами, а сумма за час стоянки настолько мала и привычна, что редко вызывает вопросы. Федеральная торговая комиссия предупреждала о таких наклейках ещё в декабре 2023 года, а в 2025 году отдельное предупреждение выпустил Нью-Йорк после случая с системой ParkNYC.
Как проверить QR-код на счёте в кафе перед оплатой?
Проще всего спросить у сотрудника напрямую, действительно ли этот код принадлежит заведению, поскольку у самого кафе редко есть система внешней проверки таких вставок. Вторым шагом стоит открыть тот же предпросмотр адреса перед переходом на страницу оплаты.
Куда сообщать о поддельном QR-коде на парковке или в кафе?
О конкретном паркомате стоит сообщить городскому оператору парковки, приложив фотографию стикера и номер устройства. О списании нужно уведомить банк по номеру с обратной стороны карты, а в кафе о находке стоит сказать администратору или менеджеру зала.