Начните с определения своей ситуации
QR-код на посылке, которую вы не ждали — от неизвестного отправителя, с пометкой «возврат» или «повторная доставка», с просьбой подтвердить адрес — это ссылка, которую вы не запрашивали. Полезный вопрос не «настоящая ли эта посылка?», а «насколько этот код успел проникнуть в мои аккаунты?».
Прежде чем что-либо делать, найдите свою ситуацию в таблице.
| Ситуация | Что произошло | Что делать в первую очередь |
|---|---|---|
| A. Не открывали | У вас есть посылка или этикетка, но код вы не сканировали | Не сканируйте его, чтобы «посмотреть, что это». Сохраните упаковку и запишите текст отправителя, дату и маркировку перевозчика |
| B. Только отсканировали | Код открыл страницу или запрос в приложении, но вы не вводили пароль, код или номер карты | Закройте страницу. Ничего не вводите. Проверьте аккаунт, который якобы представляла страница, через его официальное приложение или закладку, которая у вас уже есть |
| C. Ввели данные | Вы ввели пароль, одноразовый код, номер карты или другие данные для входа после сканирования | Считайте аккаунт скомпрометированным и переходите к шагам восстановления ниже |
Не сканируйте код даже для проверки, пусть даже на отдельном устройстве. Сканирование — это именно тот шаг, который загружает страницу.
Ситуация A: код ещё не отсканирован
Чтобы защитить себя, вам не нужно устанавливать личность отправителя. Нужно избежать использования напечатанного маршрута.
- Не сканируйте код и не открывайте короткую ссылку, напечатанную рядом с ним.
- Сохраните упаковку и этикетку. Сфотографируйте этикетку, строку отправителя и номер отслеживания. Это для ваших записей, а не доказательство того, что отправитель законный.
- Проверьте, не заказывали ли вы доставку. Используйте приложение перевозчика или магазина либо сайт, который вы открываете сами, а не номер телефона или ссылку с этикетки.
- Если посылка действительно неожиданная и вы не можете связать её с заказом, считайте её незапрошенной. Что с ней можно делать, зависит от страны проживания; эта статья не даёт юридических консультаций ни для одной страны.
- Сообщите, если хотите. В США FTC публикует рекомендации для потребителей о мошеннических сообщениях и посылках. В разных странах порядок сообщения различается, поэтому обращайтесь в местный орган по защите прав потребителей, а не исходите из того, что применим американский порядок.
Посылка, пришедшая без соответствующего заказа, не обязательно означает преступление, а QR-код не обязательно вредоносен. Суть в том, что по одной этикетке этого не определить, поэтому не нужно рисковать, чтобы выяснить.
FTC предупреждает, что QR-код на неожиданной посылке может вести на фишинговый сайт, который крадёт логины или платёжные данные, либо на вредоносное ПО. Источник
Ситуация B: отсканировали, но ничего не ввели
Если код открыл страницу, а вы остановились до ввода чего-либо, ваша главная задача — убедиться в реальном состоянии аккаунта через маршрут, который вы контролируете.
- Закройте страницу или запрос в приложении. Не «входите, чтобы отменить» и не «подтверждайте доставку» на странице, которую открыл код.
- Откройте официальное приложение сервиса или введите его адрес сами в новой вкладке браузера. Не используйте ссылку из сканирования.
- Проверьте, существует ли заявленное событие. Если страница сообщала, что посылка задержана, поищите такое же уведомление в личном кабинете перевозчика или магазина. Если там ничего нет, страница не была настоящим уведомлением.
- Не устанавливайте ничего, что предлагает страница. Предложение установить приложение с QR-кода на посылке — не требование доставки, которое можно проверить.
- Запишите, что запрашивала страница — пароль, номер карты, одноразовый код, плату за доставку, — чтобы точно описать это при сообщении.
Само сканирование не доказывает, что в ваши аккаунты вошли. Риск в этой ситуации — в том, что вы сделаете дальше, поэтому безопасное следующее действие — перестать использовать напечатанный маршрут.
Ситуация C: данные были введены
Это ситуация, которая требует действий, и порядок имеет значение.
Если после сканирования такого кода были введены данные аккаунта, FTC советует сменить пароль и включить двухфакторную аутентификацию. Источник
Выполните эти шаги по порядку, используя собственное приложение аккаунта или страницу, которую вы открываете сами:
- Смените пароль из официального приложения или сайта, а не со страницы, которую открыл код.
- Включите двухфакторную аутентификацию, если она ещё не включена. Где аккаунт это предлагает, предпочитайте приложение-аутентификатор или аппаратный ключ, а не SMS.
- Смените тот же пароль везде, где вы его повторно использовали. Пароль, введённый на фишинговой странице, следует считать известным кому-то ещё.
- Если вы ввели данные карты или банка, свяжитесь с эмитентом карты или банком по номеру на вашей карте или через его официальное приложение. Не используйте номер или ссылку с посылки или со сканированной страницы. Эта статья не обещает, что платёж можно отменить.
- Сохраняйте доступ к способу восстановления, пока не закончите. Не удаляйте свою электронную почту, номер телефона или коды восстановления, пока смена пароля и настройка двухфакторной аутентификации не подтверждены работающими, иначе вы можете заблокировать себе доступ.
- Просмотрите недавнюю активность аккаунта в официальном приложении: места входа, подключённые приложения, правила пересылки и способы оплаты. Отмените всё, что не узнаёте.
Удаление подключения для входа или редактирование профиля — не то же самое, что удаление сохранённых данных. Если вы полностью закрываете аккаунт, следуйте собственному порядку закрытия у провайдера и сохраняйте работающий способ восстановления, пока закрытие не подтверждено.
Используйте известные маршруты к аккаунту, а не напечатанный код
На этикетке посылки можно напечатать любой адрес, номер телефона или QR-код. Она не может доказать, кому принадлежит пункт назначения. Для любого решения по аккаунту — сброса пароля, подтверждения доставки, оплаты, возврата — начинайте с маршрута, которому вы уже доверяете:
| Задача | Надёжная отправная точка |
|---|---|
| Подтвердить доставку | Приложение перевозчика или магазина либо адрес, который вы вводите сами |
| Сбросить пароль | Официальное приложение или сайт сервиса либо его документированный процесс восстановления аккаунта |
| Проверить платёж | Приложение вашего банка или эмитента карты либо номер на вашей карте |
| Сообщить о подозрительном сообщении | Местный орган по защите прав потребителей; в США — опубликованные рекомендации FTC |
Если сообщение выдаёт себя за аккаунт поддержки и просит перенести разговор в чат-приложение или «подтвердить» вход, действует то же правило: проверяйте через собственное приложение сервиса. Об этой отдельной ситуации см. проверка поддельных аккаунтов поддержки в соцсетях.
Совпадение публичного имени пользователя — это зацепка, а не доказательство принадлежности. Если вы пытаетесь выяснить, кто стоит за ником, который с вами связался, поиск по имени пользователя, например TraceSeek, может показать, где этот ник встречается на 3.000+ платформах, но он не меняет настройки аккаунта, не выдаёт коды восстановления, не возвращает деньги и не подтверждает реальную личность.
Чего не следует делать выводов
- Не каждое сканирование QR-кода устанавливает вредоносное ПО. FTC описывает фишинг и вредоносное ПО как возможные исходы; она не утверждает, что каждое сканирование приводит к тому или другому.
- Страница, которая выглядела настоящей, не доказывает, что она настоящая. Проверьте заявленное событие в собственном приложении сервиса.
- Посылка без соответствующего заказа не указывает на отправителя. Не считайте имя или обратный адрес на этикетке проверенными.
- Правила для незапрошенных товаров различаются по странам. Эта статья не распространяет никакое национальное правило на другие рынки.
- Смена пароля не гарантирует восстановление. Она снижает риск; восстановят ли аккаунт или платёж, зависит от провайдера.
Короткая памятка, которую можно скопировать
Заполните её до того, как действовать, чтобы потом не восстанавливать по памяти:
- Ситуация: A / B / C
- Дата и время сканирования (если было):
- Кем представлялась страница или запрос (перевозчик, магазин, банк, другое):
- Что запрашивалось (пароль / одноразовый код / номер карты / плата / установка приложения):
- Что вы ввели, если вводили:
- Затронутые аккаунты:
- Пароль изменён: да / нет — из официального приложения или сайта: да / нет
- Двухфакторная аутентификация включена: да / нет
- Способ восстановления по-прежнему доступен: да / нет
- Эмитент карты уведомлён (если вводились данные карты): да / нет
- Куда сообщено (местный орган, перевозчик, магазин):
Когда закончите, полезное следующее действие — подтвердить каждый затронутый аккаунт через его собственное приложение: пароль изменён, двухфакторная аутентификация включена, способ восстановления работает, незнакомых сеансов и подключённых приложений нет.