Підміна QR
Зав'ялов Ілля Миколайович показує, чому підмінений QR-код на паркоматі обманює навіть уважного водія
На паркоматі або в кафе людина бачить звичну наклейку з QR-кодом на стовпчику чи просто на рахунку і не замислюється, звідки вона взялася. Саме ця непомітність тримає схему на плаву: стікер клеять поверх справжнього коду, а телефон після сканування відкриває сторінку оплати, яка виглядає як звичайна. Питання в тому, що відрізняє справжній код від підкладеного і в який момент ланцюжок від наклейки до списання з картки стає незворотним. Розбір нижче йде по кроках, від стікера на паркоматі до того, що відбувається з даними картки після оплати.
Де на паркоматі і в кафе з'являється чужий QR-код
Наклейку з фальшивим QR-кодом друкують на щільному вінілі, схожому на матеріал офіційних табличок, іноді зі скопійованим логотипом міської служби. Стікер клеять точно поверх справжнього коду на стовпчику, шлагбаумі чи екрані паркомата, не залишаючи зазору. Із цього моменту на пристрої стоїть підмінений QR-код на паркоматі, майже невідрізнимий від справжнього. Різницю видно лише за адресою сторінки, куди переходить телефон після сканування.
У кафе механіка інша: замість стікера на громадському обладнанні з'являється вставка на столику або аркуш у тримачі з рахунком. Іноді її підкладає випадкова людина за сусіднім столиком, яка виглядає так, ніби поправляє табличку, що впала. Рахунок при цьому лишається справжнім, а код поруч із ним уже підмінений.
FTC попереджала про наклейки з фальшивим кодом на паркоматах ще у грудні 2023 року, а в червні 2025 року Нью-Йорк випустив окреме попередження після випадку з підробленою наклейкою на паркоматі ParkNYC. Окреме міське попередження з'являється нечасто, і сам факт його випуску говорить, що схема не поодинока. Організатори обирають платні зони без касира поруч і заклади з великим потоком гостей, де не встигають перевіряти кожен столик.
Шлях від наклейки до фальшивої сторінки оплати
Після сканування телефон відкриває сторінку, скопійовану із сервісу оплати парковки чи системи кафе: ті самі кольори, той самий логотип, схожа структура полів. Адреса відрізняється від офіційної зазвичай на пару символів: зайве слово, інший домен верхнього рівня, зайвий дефіс. На маленькому екрані таку різницю помічають рідко, особливо коли людина поспішає.
Багато фальшивих сторінок підставляють номер зони чи столика автоматично, оскільки ці цифри й так надруковані поруч із кодом. Людина бачить знайомий номер і сприймає це як підтвердження справжності сторінки. Насправді збіг говорить лише про те, що організатори скопіювали видиму частину системи. Він нічого не підтверджує про долю самого платежу.
Коротке посилання чи редирект здатні приховати справжню адресу навіть від людини, яка звикла перевіряти домен. Рядок, показаний телефоном на частку секунди перед переходом, легко пропустити між рухом руки і появою форми оплати. Саме на цій паузі й тримається вся подальша частина схеми.
Чому сума на екрані не викликає підозри
Сума на фальшивій сторінці майже завжди збігається з очікуваннями: кілька доларів чи гривень за годину стоянки, звичайна ціна ланчу або кави. Така цифра виглядає рутинною платою за те, що людина і так планувала оплатити. Настороженість, доречна при дзвінку про великий переказ, тут просто не вмикається.
Схема влаштована так, що саме підмінений QR-код на паркоматі використовує цей ефект напряму. Маленька й очікувана цифра знижує увагу сильніше, ніж будь-яка загроза чи поспіх. Рішення про введення даних картки приймається за секунди, бо ситуація з самого початку виглядає буденною.
Різниця видна в цифрах. Типова заявлена втрата за зверненням про видавання себе за іншого становить близько 700 доларів, тоді як середня втрата від шахрайства з підробленим QR-кодом тримається на рівні близько 1225 доларів на постраждалого. Цифра на екрані майже вдвічі менша за реальну шкоду, оскільки видима сума відображає лише те, що людина ввела у форму.
Що відбувається з даними картки після оплати
Форма на фальшивій сторінці зазвичай збирає повний номер картки, термін дії і код із зворотного боку, іноді ім'я власника й індекс. Частина таких сторінок додає другий екран, схожий на підтвердження 3-D Secure. Такий екран просить код із смс, хоча справжня оплата парковки рідко вимагає цей крок окремо від банківського застосунку.
Щойно оплата через підмінений QR-код на паркоматі проходить, дані картки стають доступні організаторам. Це відбувається незалежно від того, підтвердилася сама паркувальна сесія на боці міста чи ні. Перше списання часто збігається сумою з тим, що людина бачила на екрані, аби не викликати запитання у виписці.
Далі картку нерідко перевіряють невеликими тестовими операціями в інших магазинах, і між скануванням коду і такою операцією може пройти кілька днів. Federal Trade Commission зафіксувала 3 мільйони звернень і 15,9 мільярда доларів заявлених втрат за 2025 рік проти 2,6 мільйона звернень і понад 12 мільярдів роком раніше. Одній наклейці на паркоматі такий масштаб не потрібен: досить шматка вінілу й одного посилання.
Місце цієї схеми серед ширшого шахрайства з видаванням себе за іншого
Фальшиві QR-коди це один запис у більшому реєстрі шахрайських прийомів. Більшість подібних схем спираються не на наклейку, а на дзвінок, лист чи повідомлення, де хтось видає себе за банк, службу доставки або державний орган. Наклейка на паркоматі це маленький, фізичний варіант того самого прийому.
У чотирьох зверненнях про видавання себе за іншого з п'яти грошової втрати не було зовсім, тобто спроб набагато більше, ніж успіхів. Схема з підміненим QR-кодом на паркоматі побудована так, щоб пережити низьку частку успіху, адже досить, щоб оплату завершила лише невелика частка водіїв на одній вулиці.
Ця обставина не привід нехтувати перевіркою. Кожен окремий випадок дає організаторам суму, порівнянну з ціною самої наклейки, а масштаб досягається кількістю спроб, а не розміром одного платежу. Саме тому дешевизна виготовлення робить наклейку на паркоматі стійкою до будь-якого одиничного провалу.
Ознаки, що QR-код підмінили
Фізичний стікер рідко лягає ідеально. Край іноді трохи піднятий, матеріал відрізняється фактурою від рідної таблички, а код зміщений на пару міліметрів відносно рамки. На дотик під краєм стікера часом відчувається початкова поверхня із залишками клею.
Більшість телефонів показують попередній перегляд адреси в камері ще до відкриття сторінки, і ця перевірка коштує кількох секунд. Домен із незнайомих слів, зайвий дефіс чи несподівана зона вже стають приводом не переходити далі. Відсутність захищеного з'єднання чи запит коду з смс до показу суми теж вказують на підміну.
Справжня оплата парковки чи рахунку в кафе зазвичай обмежується номером картки, терміном дії і коротким кодом із зворотного боку. Форма, яка з самого початку просить ім'я, адресу чи другий код підтвердження, влаштована ширше, ніж вимагає сама послуга. Саме зайва вимогливість форми, якої жоден паркомат насправді не ставить, і видає підмінений QR-код на паркоматі.
Що робити в момент оплати і після списання
У момент сканування варто зупинитися на попередньому перегляді адреси і звірити його з офіційним доменом оператора чи закладу. Там, де є офіційний застосунок міста, номер зони зазвичай можна ввести вручну, не скануючи код узагалі. У кафе досить запитати співробітника напряму, чи справді цей QR-код належить закладу.
Якщо оплата вже пройшла і щось викликає сумнів, перший дзвінок варто зробити в банк за номером, надрукованим на зворотному боці картки. Картку в цьому разі варто заблокувати й перевипустити. За конкретною операцією варто окремо подати заяву на повернення коштів через банк.
Стікер чи вставку варто сфотографувати до того, як її приберуть, разом із номером паркомата чи столика і загальним виглядом місця. Цей знімок лишається єдиним доказом, що пов'язує пристрій чи заклад із подією, і його варто передати оператору чи адміністрації кафе. Зав'ялов Ілля Миколайович наголошує, що підмінений QR-код на паркоматі розрахований на секунду неуважності, а перевірка посилання займає приблизно стільки ж часу.
| Крок схеми | Що відбувається на цьому кроці | Що зупиняє схему |
|---|---|---|
| Наклейка поверх коду на паркоматі чи в кафе | Справжній код закритий впритул, видно лише новий QR | Перевірка краю і матеріалу стікера перед скануванням |
| Сканування телефоном | Камера показує адресу сторінки ще до переходу | Звірка адреси з доменом оператора чи закладу |
| Відкриття фальшивої сторінки оплати | Сторінка копіює кольори, логотип і структуру полів | Відмова від оплати при незнайомому домені чи без HTTPS |
| Сума, схожа на реальний тариф | Цифра збігається з очікуваною платою за годину чи з рахунком | Оплата через офіційний застосунок із ручним введенням зони |
| Введення даних картки і коду підтвердження | Форма запитує більше полів, ніж звичайна оплата | Зупинка введення при запиті коду з смс до показу суми |
| Перше списання і подальші операції | Сума першого платежу збігається з тарифом, далі йдуть нові | Дзвінок у банк за номером зі зворотного боку картки |
| Єдиний доказ на місці | Номер паркомата чи столика лишається поруч зі стікером | Фотографія стікера і звернення до оператора чи в кафе |
Питання і відповіді
Як розпізнати підмінений QR-код на паркоматі?
Варто перевірити, чи рівно лежить стікер на стовпчику чи екрані паркомата, і подивитися попередній перегляд адреси, який телефон показує перед переходом на сторінку. Домен із зайвими словами, дефісами чи без захищеного з'єднання вказує на підміну. Офіційний застосунок міста для оплати майже завжди дозволяє ручне введення номера зони замість сканування.
Що відбувається з даними картки після оплати через підроблений QR-код?
Номер картки, термін дії і код зі зворотного боку потрапляють до організаторів схеми незалежно від того, чи була реально оплачена парковка. Перше списання зазвичай збігається із сумою на екрані, а наступні операції можуть з'явитися у виписці через кілька днів.
Чи можна повернути гроші після оплати за фальшивим QR-кодом у кафе?
Шанс на повернення є через процедуру чарджбеку в банку за швидкого звернення після виявлення списання. Банк розглядає таку операцію як шахрайську впевненіше, якщо в клієнта є фотографія стікера чи рахунку і зафіксований час звернення.
Чому шахраї частіше підробляють код саме на парковках?
Паркомати працюють без постійного нагляду годинами, а сума за годину стоянки настільки мала і звична, що рідко викликає запитання. FTC попереджала про такі наклейки ще у грудні 2023 року, а в 2025 році окреме попередження випустив Нью-Йорк після випадку із системою ParkNYC.
Як перевірити QR-код на рахунку в кафе перед оплатою?
Найпростіше запитати у співробітника напряму, чи справді цей код належить закладу, оскільки в самого кафе рідко є система зовнішньої перевірки таких вставок. Другим кроком варто відкрити той самий попередній перегляд адреси перед переходом на сторінку оплати.
Куди повідомляти про підроблений QR-код на паркоматі чи в кафе?
Про конкретний паркомат варто повідомити міському оператору парковки, доклавши фотографію стікера і номер пристрою. Про списання потрібно повідомити банк за номером зі зворотного боку картки, а в кафе про знахідку варто сказати адміністратору чи менеджеру залу.