Шахрайство з QR-кодами та NFC: як воно працює і як захистити свої облікові записи

Цифрові платежі роблять повсякденне життя швидшим, але водночас створюють нові можливості для шахрайства. QR-коди та функції NFC tap-to-pay зручні, широко використовуються і часто викликають довіру без зайвих роздумів. Саме цю довіру й використовують шахраї.

Для власників бізнесу ризик особливо важливий. Один невдалий скан або скомпрометований платіжний акаунт може призвести до викрадених коштів, несанкціонованих переказів, розкриття даних клієнтів і годин на усунення наслідків. Незалежно від того, чи ви керуєте невеликим стартапом, домашнім бізнесом або компанією, що зростає та використовує кілька платіжних каналів, розуміння цих схем є практичною частиною захисту ваших операцій.

У цьому матеріалі пояснюється, як працюють шахрайство з QR-кодами та NFC, на які попереджувальні ознаки звертати увагу і які кроки можна зробити, щоб знизити ризик.

Чому ці схеми працюють

QR-коди та технологія NFC корисні тим, що спрощують оплату і доступ. Проблема в тому, що вони також зменшують кількість бар’єрів для злочинців.

Шахрайство зазвичай спрацьовує, коли відбуваються три речі:

• Жертва довіряє коду, пристрою або запиту на оплату.
• Операція відбувається надто швидко, щоб її перевірити.
• Користувач не помічає, що адресу отримувача або саму дію було змінено.

Іншими словами, проблема не в самій технології. Шахрайство залежить від обману, швидкості та відсутності перевірки.

Як виглядає шахрайство з QR-кодами

QR-коди всюди. Вони є на рахунках, у меню ресторанів, рекламних флаєрах, платіжних терміналах для паркування, транспортних і транспортних етикетках та на сторінках оплати. Оскільки вони виглядають подібно, користувачі часто вважають їх безпечними.

Шахраї використовують це припущення кількома способами.

Підроблені платіжні коди

Один поширений сценарій полягає в заміні легітимного QR-коду на шахрайський. Злочинець може наклеїти стікер поверх справжнього коду в громадському місці або на друкованому рахунку, через що платіж піде на неправильний рахунок.

Це може трапитися в таких місцях:

• Паркувальні кіоски
• Квитки на події
• Скриньки для пожертв
• Столи в ресторанах
• Рахунки для малого бізнесу

Фішингові коди

Код також може перенаправляти користувачів на підроблений вебсайт, створений для викрадення облікових даних, даних картки або особистої інформації. Оскільки користувачі очікують, що QR-коди відкриватимуть сайти або застосунки, вони можуть не поставити під сумнів посилання, яке з’являється після сканування.

Шкідливі завантаження

Деякі шахрайські QR-коди перенаправляють користувача на сторінку завантаження застосунку або файл, який встановлює шпигунське ПЗ, браузерні hijackers чи інше небажане програмне забезпечення. Після встановлення таке ПЗ може відстежувати дії, викрадати паролі або перехоплювати фінансову інформацію.

Махінації з рахунками та білінгом

Бізнес часто стає ціллю шахрайства, пов’язаного з рахунками. Підроблений рахунок може виглядати так, ніби він надійшов від постачальника, підрядника або сервісного провайдера. Якщо співробітник сканує код і сплачує на неправильний рахунок, гроші можуть зникнути ще до того, як помилку буде виявлено.

Як працює шахрайство з NFC

NFC означає near-field communication. Це технологія, яка дозволяє картці, телефону або носимому пристрою взаємодіяти з платіжним терміналом, коли їх підносять близько один до одного.

NFC є безпечною за правильної реалізації, але шахраї все одно намагаються зловживати довірою, яку користувачі покладають на системи безконтактної оплати.

Викрадені або клоновані платіжні дані

Якщо телефон, гаманець або картка скомпрометовані, злочинець може використати дані для несанкціонованих безконтактних платежів. У багатьох випадках крадіжка відбувається через шкідливе ПЗ, фішинг або скомпрометований акаунт, а не лише через фізичну близькість.

Relay-атаки

У relay-атаці злочинець намагається розширити зв’язок між легітимним платіжним пристроєм і терміналом. Мета полягає в тому, щоб створити враження, ніби дотик відбувається тоді, коли справжній пристрій перебуває далі, ніж повинен.

Такий вид шахрайства технічно складніший за базовий фішинг, але він показує, чому безпека безконтактних платежів все ще має значення.

Крадіжка пристрою та доступ до акаунта

NFC часто поєднується з мобільними гаманцями, збереженими картками та автентифікацією через застосунок. Якщо хтось отримає доступ до розблокованого телефону або недостатньо захищеного застосунку-гаманця, він може авторизувати покупки або отримати доступ до пов’язаних акаунтів.

На які ознаки звертати увагу

Найкращий спосіб уникнути шахрайства з QR та NFC — пригальмувати та перевірити все перед дією.

Звертайте увагу на такі тривожні ознаки:

• Наклейка з QR-кодом, розміщена поверх іншого коду
• Запит на оплату, який з’явився несподівано
• Вебадреса, що виглядає з помилками або незвично після сканування
• Постачальник, який просить оплатити через код, що неможливо незалежно перевірити
• Запит tap-to-pay, який з’являється поза звичним процесом оплати
• Пропозиція встановити застосунок перед завершенням платежу
• Платіжний термінал, який мав ознаки фізичного втручання

Якщо щось здається незвичним, зупиніться та підтвердьте транзакцію через надійний канал.

Як захистити себе як приватну особу

Базові звички безпеки мають велике значення.

Перевіряйте джерело

Скануйте коди лише з перевірених джерел. Якщо ви отримали QR-код у електронному листі, SMS, флаєрі або рахунку, підтвердьте, що він дійсно надійшов від справжнього відправника, перш ніж сканувати його.

Оглядайте код і поверхню навколо нього

Шукайте ознаки того, що код було закрито, переміщено або замінено. На друкованих матеріалах перевіряйте, чи не є код стікером поверх іншої наклейки.

Перевіряйте адресу призначення перед продовженням

Легітимний QR-код не повинен змушувати вас поспішати. Перегляньте вебадресу або назву застосунку, перш ніж вводити будь-яку платіжну інформацію.

Використовуйте надійний захист пристрою

Оновлюйте телефон, використовуйте надійний код доступу, увімкніть біометричний захист і функції блокування пристрою. Якщо ваш телефон підтримує сповіщення гаманця або платіжні сповіщення, увімкніть їх.

Обмежуйте обсяг даних, збережених на пристрої

Видаліть невикористовувані картки, старі платіжні застосунки та зайві дані автозаповнення в браузері. Чим менше чутливої інформації зберігається на пристрої, тим менше зможе отримати злочинець у разі інциденту.

Швидко повідомляйте про підозрілу активність

Якщо ви вважаєте, що просканували підроблений код або підтвердили несанкціонований безконтактний платіж, негайно зверніться до банку або емітента картки. Швидке повідомлення може зменшити втрати і допомогти заблокувати подальші транзакції.

Як бізнес може зменшити ризик

Власникам бізнесу слід розглядати шахрайство з QR і NFC як частину процесу платіжної та постачальницької безпеки.

Контролюйте фізичний доступ до платіжних матеріалів

Якщо ваш бізнес використовує друковані QR-коди, зберігайте їх у безпечних місцях і регулярно перевіряйте. Це особливо важливо для вітрин, сервісних стійок, паркувальних систем і матеріалів для подій.

Навчайте співробітників

Працівники повинні вміти розпізнавати підозрілі платіжні запити, змінені коди та незвичні інструкції від постачальників. Навчання не обов’язково має бути складним, але воно має бути системним.

Підтверджуйте зміни платіжних реквізитів через окремий канал

Якщо постачальник надсилає новий платіжний напрямок, підтвердьте його через відомий номер телефону або вже встановлений контакт в акаунті. Не покладайтеся на повідомлення, у якому надійшов запит.

Розділяйте бізнес- та особисті фінанси

Новим засновникам і власникам малого бізнесу варто по можливості тримати бізнес-акаунти окремо від особистих. Такий поділ полегшує виявлення підозрілої активності та обмежує масштаб поширення шахрайства.

Увімкніть сповіщення

Налаштуйте сповіщення в реальному часі про активність карток, ACH-перекази, входи в акаунт і зміни платіжних даних. Сповіщення, яке надходить одразу, може стати різницею між швидким виявленням шахрайства і більшими втратами.

Регулярно проводьте звірку

Не чекайте податкового сезону або кінця кварталу, щоб перевірити транзакції. Часте звіряння допомагає рано виявити дубльовані списання, несанкціоновані перекази та невідповідності в платежах постачальникам.

Використовуйте рольові дозволи

Якщо кілька співробітників обробляють платежі, обмежте доступ за ролями. Не кожному члену команди потрібно мати можливість додавати постачальників, затверджувати перекази або змінювати способи оплати.

Що робити, якщо ви вважаєте, що стали жертвою шахрайства

Якщо ви підозрюєте шахрайство з QR або NFC, дійте швидко.

1. Негайно зв’яжіться з банком або емітентом картки.
2. Заморозьте або заблокуйте відповідні акаунти, якщо ваш провайдер це підтримує.
3. Змініть паролі для всіх пов’язаних акаунтів.
4. Перевірте останні транзакції та входи в систему.
5. Видаліть підозрілі застосунки або розширення браузера з пристроїв.
6. Повідомте про інцидент платформу, продавця або постачальника, з яким це пов’язано.
7. У разі інцидентів у бізнесі задокументуйте, що сталося, і повідомте внутрішніх зацікавлених осіб.

Якщо могли бути розкриті дані клієнтів або співробітників, подумайте, чи потрібне додаткове повідомлення або заходи реагування відповідно до політик компанії або чинного законодавства.

Чи безпечно користуватися QR-кодами та NFC?

Так, якщо користуватися ними обережно. QR-коди та NFC-платежі самі по собі не є небезпечними. Це лише інструменти, і, як і більшість інструментів, їх можна використати зловмисно.

Найбезпечніший підхід полягає не в тому, щоб повністю уникати технології. Потрібно використовувати її з такою самою обережністю, яку ви застосували б до будь-якої фінансової дії:

• Перевіряйте джерело
• Перевіряйте адресу призначення
• Використовуйте сповіщення по акаунту
• Захищайте пристрої
• Зупиніться перед оплатою

Одна додаткова мить на перевірку може запобігти дорогій помилці.

Підсумок

Шахрайство з QR-кодами та NFC спрацьовує, тому що воно швидке, зручне і викликає довіру. Злочинці використовують цю зручність, щоб перенаправляти платежі, викрадати облікові дані та користуватися тим, що люди діють поспіхом.

Для приватних осіб рішенням є уважна перевірка та надійний захист пристрою. Для власників бізнесу це також означає навчання працівників, контроль платежів, процедури підтвердження реквізитів постачальників і регулярний моніторинг акаунтів.

Чим більше ваш бізнес залежить від цифрових платежів, тим важливішими стають ці заходи захисту. Проста звичка перевіряти все перед скануванням або дотиком може зекономити час, гроші та значні незручності в майбутньому.