Основна проблема: наклейка — це не оператор
QR-код — це надрукована етикетка. Будь-хто, хто має доступ до паркомата, може наклеїти новий код поверх старого, і сам код не містить видимих ознак того, кому належить сторінка за ним. Тож питання не в тому, «чи є на цьому паркоматі QR-код?», а в тому, «чи належить сторінка, яку відкриває цей код, оператору цього паркомата?»
Шахраї заклеювали справжні QR-коди на паркоматах кодами, що ведуть на фішингові сайти. Джерело
Це задокументована схема, а не гіпотеза. Ставтеся до будь-якого QR-коду на паркоматі як до неперевіреного вказівника, доки не перевірите його.
Потрійна перевірка: паркомат, оператор, призначення
Виконайте перевірку в такому порядку, перш ніж щось вводити.
- Прочитайте сам паркомат. Знайдіть назву оператора, ідентифікатор паркомата або місця та офіційні інструкції з оплати, надруковані на корпусі паркомата або на сусідньому знаку. Запишіть те, що бачите.
- Визначте оператора незалежно. Використайте назву оператора з паркомата — не зі сторінки QR-коду — і зв’яжіться з оператором через канал, якому ви вже довіряєте, наприклад, номер або адресу, надруковані на паркоматі чи знаку. Не використовуйте посилання чи номер телефону, надані лише сторінкою QR-коду.
- Порівняйте призначення. Перш ніж вводити дані картки, перевірте URL-адресу, яку відкрив код.
FTC радить перевіряти URL-адресу призначення, перш ніж продовжити. Джерело
- Перевірте відповідність. Чи вказує сторінка того самого оператора й той самий паркомат або місце, що й фізичний паркомат? Якщо на сторінці інший бренд, загальний заголовок «оплата паркування» або місце, яке не можна прив’язати до паркомата перед вами, зупиніться.
- Вирішіть. Продовжуйте, лише якщо паркомат, оператор і призначення збігаються. Якщо чогось із трьох бракує або є розбіжність, сплатіть через канал, який можете перевірити.
| Перевірка | Що шукати | Тривожна ознака |
|---|---|---|
| Паркомат | Назва оператора, ідентифікатор паркомата/місця, офіційне формулювання оплати | Назви оператора немає взагалі; наклейка, що виглядає наклеєною поверх старішої |
| Оператор | Контактний канал, знайдений незалежно від сторінки QR-коду | Єдині контактні дані — на сторінці QR-коду |
| Призначення | URL-адреса та брендування сторінки відповідають оператору й цьому паркомату | Невідповідний бренд, нечіткий заголовок сторінки, місце, що не збігається |
| Введення | Платіжна форма, яка запитує лише те, що потрібно для оплати паркування | Запити інформації, не пов’язаної з оплатою цієї паркувальної сесії |
Ця таблиця — редакційна порада, а не правило, опубліковане будь-яким паркувальним органом. Вона впорядковує перевірки; вона не вказує, що вимагає конкретне місто.
Чого цей посібник вам не каже
Розглянуті джерела не встановлюють, чи підтримує, вимагає або забороняє будь-яке конкретне місто оплату за QR-кодом на паркоматах. Правила, затверджені застосунки та вивіски різняться залежно від оператора й юрисдикції, і ця стаття не має джерела на рівні міста. Якщо вам потрібно знати, що є офіційним там, де ви припарковані, використовуйте надруковані інструкції на самому паркоматі та опубліковані оператором способи оплати — а якщо вони незрозумілі, сплатіть способом, який можете підтвердити, а не вгадуйте за наклейкою.
Так само ніщо тут не ідентифікує конкретну шахрайську кампанію, жертву чи кількість уражених паркоматів. Ризик — це схема: код, що веде кудись інше, ніж сторінка оператора.
Якщо ви вже ввели дані картки
Дійте, виходячи з припущення, що дані скомпрометовані, доки не матимете підстав вважати інакше.
Після введення облікових даних на підозрілому сайті FTC радить змінити повторно використані паролі та переглянути транзакції. Джерело
На практиці це означає:
- Спершу змініть повторно використані паролі. Кожен обліковий запис, де використовувався той самий пароль, що й введений вами, отримує новий унікальний пароль.
- Перегляньте транзакції. Перевірте картку, яку ви ввели, на наявність незнайомих списань і продовжуйте перевіряти наступними днями, а не лише один раз.
- Зверніться до емітента картки. Повідомте про підозрілу сторінку та запитайте, який захист застосовується до вашої картки. Розглянуті джерела не уточнюють процедури емітента, тож дотримуйтеся інструкцій вашого емітента.
- Збережіть запис. Збережіть URL-адресу, фото наклейки та паркомата, а також час — на випадок, якщо потрібно буде повідомити про це.
Видалення наклейки або закриття сторінки не скасовує нічого, що ви вже надіслали. Наведені кроки стосуються скомпрометованих даних; вони не гарантують, що подальших дій не знадобиться.
Короткий контрольний список для телефона
Перш ніж платити на паркоматі з QR-кодом:
- Назва оператора та ідентифікатор паркомата/місця прочитані з самого паркомата
- З оператором зв’язалися через канал, знайдений незалежно від сторінки QR-коду
- URL-адресу призначення перевірено до введення будь-яких даних картки
- Брендування сторінки та місце збігаються з паркоматом перед вами
- Форма запитує лише те, що потрібно для цієї оплати паркування
- Якщо щось не збігається: зупиніться та використайте спосіб оплати, який можна перевірити
Після оплати збережіть підтвердження до завершення сесії, щоб порівняти його з паркоматом і будь-яким пізнішим списанням.
Коли питання перетворюється на «хто стоїть за цією сторінкою?»
Іноді перевірка не вдається так, що ви замислюєтеся, хто насправді керує сайтом, на який вас відправили — сторінка без назви оператора, профіль або контактна адреса, що не збігається з паркоматом, або дані, які виглядають зібраними з кількох джерел. Публічний пошук за іменем користувача може виявити зачіпки щодо назви облікового запису, але це не доказ того, кому він належить; збіг нікнеймів, фото чи біографій не встановлює особу незалежно. Якщо ви на цьому етапі, наступним кроком буде посібник про те, хто стоїть за фейковим обліковим записом.
Де місце TraceSeek, а де ні
TraceSeek — це застосунок для пошуку за іменем користувача, який перевіряє ім’я користувача на понад 3 000 платформах, з безкоштовним першим скануванням і заявленим часом сканування 20–30 секунд; він доступний в App Store та Google Play, і перше сканування не потребує реєстрації чи входу. Це не перевіряльник паркувальних платежів, не сервіс репутації URL-адрес і не монітор шахрайства з картками, а пошук за іменем користувача не створює повного переліку облікових записів. Використовуйте наведену вище перевірку «паркомат/оператор/призначення» для самого рішення про оплату, а будь-який пошук за іменем користувача сприймайте як зачіпку для подальшої перевірки, а не як доказ особи.