Вкусно, но грустно: обычная чашка чая обошлась женщине из Сингапура в 1,5 миллиона рублей

[Artifact]

Новый тип мошенничества с использованием QR-кодов набирает популярность за рубежом.
Мошенники научились грабить простых людей при помощи фейковых QR-кодов, расположенных в общественных местах. История женщины из Сингапура, потерявшей 20 тысяч долларов (около полутора миллионов рублей) собственных сбережений, вполне возможно, убережёт наших читателей от попадания в подобную ситуацию.
Как сообщает местное новостное издание The Straits Times, 60-летняя женщина увидела наклейку на входной двери в магазин «Bubble Tea», где предлагалось отсканировать QR-код, заполнить анкету на сайте и получить за это «бесплатную чашку чая с молоком». Как оказалось позже, данную наклейку налепили на дверь магазина именно злоумышленники, а само заведение никогда не проводило подобной акции.
Тем не менее, женщина не заподозрила ничего странного в требовании заполнить анкету и без колебаний отсканировала код. Однако она допустила фатальную ошибку на следующем этапе. Как выяснилось, QR-код вёл на скачивание стороннего приложения, и «заполнить анкету» нужно было именно там. Приложение, разумеется, оказалось полнофункциональным бэкдором с удалённым управлением смартфоном. Жертва не поняла этого и с радостью выдала приложению все необходимые разрешения и привилегии, ведь на кону чашка бесплатного чая!
Так как приложение обладало в том числе полномочиями записи экрана, а также удалённого управления устройством, мошенникам в течение дня удалось подсмотреть пин-код женщины от её банковского приложения, и поздно ночью, когда жертва уже спала, хакеры удалённо разблокировали смартфон и перевели на свой счёт 20 тысяч долларов с банковского счёта женщины. Вот вам и бесплатная чашка чая!
Как считают эксперты, распространение поддельных QR-кодов под видом настоящих, имеющих отношение к какой-либо организации, вызывающей доверие, — довольно хитрый способ обмануть жертв, поскольку потребители могут быть не в состоянии отличить законные QR-коды от мошеннических.
Между тем, подобный вид мошенничества уже добрался до США и Великобритании. Пострадавшие из Сан-Франциско утверждают, что злоумышленники оставляют на припаркованной машине потенциальной жертвы штраф-талон якобы за нарушения правил парковки. Талон содержит QR-код для оплаты штрафа, ведущий на, как это поначалу кажется, официальный сайт SFMTA (Муниципальное Транспортное Агентство Сан-Франциско).

Пример мошеннического штраф-талона
Забавно, что талон, который потенциальная жертва получила четвёртого мая, был датирован будущим временем, — пятым мая, что и стало причиной для подозрений. QR-код на приведённом талоне ведёт к ныне отключенной ссылке для сокращения URL, перенаправляющей посетителя на фишинговый веб-сайт, который полностью копирует внешний вид официального веб-сайта SFMTA, чтобы усыпить бдительность жертвы.

Сайт SFMTA: слева поддельный, справа настоящий
Дальнейшее расследование показало, что поддельный веб-сайт использовал форму веб-платежей Square для обработки мошеннических транзакций, а оплаченный жертвой «липовый» штраф улетал прямо в карман злоумышленников.
«Мы видим подобное мошенничество не впервые. В прошлый раз это были вредоносные QR-коды на парковочных счётчиках в Техасе», — написала журналистка Ким Зеттер, ссылаясь на конкретную известную аферу.
Местные органы власти Великобритании, включая совет острова Уайт, также предупреждают жителей остерегаться обнаруженных QR-кодов, которые могут быть замаскированы под опцию парковочного счетчика с быстрой оплатой. «Люди сканируют код и вводят данные своей кредитной карты, думая, что платят за парковочное место, но вместо этого попадают на поддельный веб-сайт, где мошенники фиксируют их платёжные данные», — поясняется в уведомлении .
Чтобы не стать жертвой подобного рода мошенничества, ни при каких обстоятельствах не стоит устанавливать на свой смартфон сомнительные приложения из сторонних источников. А если на каком-либо стороннем веб-сайте потребуется напрямую указать данные банковской карты, включая CVV-код, скорее всего, это мошенническая уловка. На большинстве российских сайтов, к примеру, обычно настроено перенаправление на популярные безопасные платёжные системы, у которых, как правило, уже есть данные банковской карты пользователя.