QR-платежи: изучаем технику безопасности

QR-коды — от Японии до России
QR-код — по сути тот же  штрихкод , только может хранить больше информации и при этом легко распознается считывающим оборудованием. Его изобрели в Японии четверть века назад, когда выяснилось, что существующие виды штрихкодов не отвечают потребностям местной промышленности.
Изначально QR-кодами пользовались автопроизводители для оптимизации рабочих процессов. Однако с развитием Интернета и мобильных гаджетов эта технология нашла куда более широкое применение: с ее помощью обмениваются ссылками и контактами, отправляют SMS, скачивают приложения и так далее. А еще — оплачивают покупки.
Небывалую популярность  платежи с помощью QR-кодов приобрели в Китае . Жители Поднебесной пользуются этой технологией везде — от транспорта до уличных палаток с едой. В стране действует несколько платежных систем, которые ее поддерживают: Alipay, WeChat Pay, UnionPay.
Своя система QR-платежей  существует в Индии , хотя и не применяется так широко. Постепенно квадратные коды завоевывают рынок и в других азиатских странах, например  в Южной Корее . Кроме того, эту технологию поддерживают некоторые крупные международные платежные системы вроде  PayPal .
В России тоже уже переводят деньги с помощью QR-кодов. Так, в некоторых регионах их можно встретить на квитанциях для оплаты коммунальных услуг, а  клиенты банка ВТБ  могут рассчитываться между собой, создавая и сканируя такие коды. С февраля 2019 года  QR-платежи принимают  также в российских ресторанах сети Burger King.
В ближайшее время квадратные штрихкоды займут куда более заметное место на отечественном рынке. В конце прошлого года  Сбербанк начал внедрять  в разных регионах России систему «Плати QR». В этом году поддержку QR-кодов на территории страны  вводит Visa . Также эту технологию как часть «Системы быстрых платежей»  протестирует Центробанк РФ .
Как работают QR-платежи
Существует два способа оплатить покупку с помощью QR-кода.
Вариант 1 . QR-код создает продавец. Это может быть статический код, содержащий информацию о его счете, или динамический — с информацией о транзакции.
Статический код можно распечатать на бумаге и вывесить или установить на кассе. Покупатель сканирует этот код при помощи платежного приложения — на экране смартфона отображается получатель перевода, — вводит сумму покупки и подтверждает оплату.
Динамический код продавец формирует «на ходу» и выводит его, например, на экран кассы или планшета. В этом случае сумма покупки уже содержится в коде, так что клиент только сканирует его и подтверждает оплату.
Вариант 2 .QR-код создает покупатель при помощи платежного приложения. В таком случае код всегда одноразовый. Продавец сканирует его с помощью специального устройства и со счета покупателя списывается нужная сумма.
Конкретные торговые точки и платежные приложения могут поддерживать как оба варианта оплаты, так и только один из них.
Чем удобны QR-коды?
QR-платежи имеют несколько преимуществ перед другими способами оплаты покупок. В первую очередь, они позволяют не носить с собой наличные деньги и банковские карты. Все необходимые для проведения транзакции данные доступны из платежного приложения.
При этом в отличие от систем на основе технологии NFC, таких как  Apple Pay  или  Google Pay , в случае QR-платежей нет никаких особых требований к устройству вроде наличия NFC-чипа. Установить платежное приложение, поддерживающее QR-коды, вы сможете практически на любой смартфон под управлением iOS или Android. Главное — чтобы программа была совместима с вашей версией операционной системы.
Привлекательны QR-платежи и для предпринимателей. Малый бизнес сможет сэкономить на приобретении банковского терминала: даже сканер созданных покупателем QR-кодов стоит в разы дешевле. Если же компания предпочитает использовать собственный код, ей достаточно напечатать его на обычном листе бумаги.
Кроме того, QR-коды могут снизить расходы предпринимателей на комиссию банков за прием безналичных платежей. Так, Центробанк  планирует установить предельное значение  комиссии на уровне 0,4–0,5%, тогда как владельцы POS-терминалов, работающих с пластиковыми картами, отчисляют финансовым организациям 1,5–2,5% от суммы транзакции.
Воровство с помощью QR-кодов
Как показал опыт внедрения QR-кодов в Китае, технологию с успехом освоили не только торговцы, но и мошенники. С ее помощью киберпреступники успешно крадут средства с чужих счетов.
Проблема в том, что отличить QR-код магазина от QR-кода злоумышленника на глаз невозможно. Если торговая точка использует статический код, киберпреступник может просто  заклеить его своим . Создать QR-код с личным счетом — не проблема: приложения-генераторы можно бесплатно скачать на смартфон или найти онлайн. И если в крупном магазине может быть сложно улучить момент, когда никто не видит, что происходит на кассе, то дождаться, пока отвлечется уличный продавец, или подменить код в автоматизированной торговой точке не так трудно.
Например, студент из китайской провинции Гуандун решил покататься на велосипеде. В пункте проката возле общежития он просканировал QR-код, не заметив, что тот наклеен поверх другого. Молодой человек, не задумываясь, провел платеж, но замок на велосипеде не открылся: деньги ушли мошенникам.
Похожий  инцидент  произошел и в Шанхае. Водитель обнаружил на автомобиле штрафную квитанцию за неправильную парковку и оплатил ее по напечатанному на ней QR-коду. Через несколько дней он получил напоминание от полиции о все еще неуплаченном штрафе.
Угон QR-кода из-под носа покупателя
Одноразовые QR-коды выглядят более надежными, однако и ими могут злоупотребить. Например, в Китае клиент ресторана после окончания трапезы попросил счет и  сгенерировал QR-код в своем смартфоне, чтобы расплатиться . Пока он рассчитывался, ему пришло уведомление о снятии средств со счета, однако получателем почему-то значилась бильярдная.
Клиент этот оказался полицейским. Он быстро поднял персонал ресторана на уши и запросил запись с камеры наблюдения. Видео прояснило ситуацию: стоявший за спиной полицейского злоумышленник просто-напросто сфотографировал QR-код на смартфоне блюстителя порядка и тут же расплатился им… с самим собой. Хитроумный мошенник заранее зарегистрировал на себя бильярдную и установил на смартфон приложение, которое работает как QR-сканер для бизнеса. Впоследствии эту программу заблокировали.
Бережем счет
В Китае проблему воровства через QR-коды решают радикально: власти ввели ограничение на транзакции с ними. Граждане страны могут потратить таким образом не больше 500 юаней (чуть меньше 5000 рублей) с одного аккаунта в день. Однако мы не можем сейчас сказать, какие меры безопасности примут отечественные банки. Кроме того, лимит на покупки через QR-код не защитит вас от потерь в пределах этого лимита.
Поэтому мы рекомендуем в первую очередь быть внимательными:

Перед подтверждением оплаты проверяйте сумму перевода и наименование получателя. Если вы оплачиваете, скажем, штраф, а отображается это как перевод частному лицу — тут явно что-то не так.
Прежде чем сканировать QR-код, убедитесь, что он не наклеен поверх другого. Иногда это видно невооруженным взглядом, но не будет лишним и пощупать табличку с кодом.
Проверяйте QR-коды с помощью специальных приложений, распознающих вредоносный контент. Для этой цели у нас есть, например, Kaspersky QR Scanner ( iOS ,  Android ).
Если вы генерируете платежный код на своем смартфоне, делайте это непосредственно в момент оплаты — тогда у мошенников не будет времени его перехватить.
Перед тем как сгенерировать код, на всякий случай проверяйте, не смогут ли его увидеть посторонние.
Также не повредит  защитить то устройство , которое вы будете использовать для оплаты с помощью QR-кодов.

Источник
Batafsil | Подробно | Read more... InfoCOM