Почніть із визначення свого стану
QR-код на посилці, якої ви не очікували — від невідомого відправника, з позначкою «повернення» чи «повторна доставка», із проханням підтвердити адресу — це посилання, яке ви не замовляли. Корисне питання не «чи справжня ця посилка?», а «наскільки глибоко цей код проник у мої облікові записи?»
Скористайтеся цією таблицею, щоб визначити свій стан, перш ніж щось робити.
| Стан | Що сталося | Що робити насамперед |
|---|---|---|
| A. Не відкрито | У вас є посилка або етикетка, але ви не сканували код | Не скануйте його, щоб «подивитися, що це». Збережіть упаковку та запишіть текст відправника, дату й позначки перевізника |
| B. Лише відскановано | Код відкрив сторінку або запит у застосунку, але ви не вводили пароль, код чи номер картки | Закрийте сторінку. Нічого не вводьте. Перевірте обліковий запис, який нібито представляла сторінка, через його офіційний застосунок або збережену закладку |
| C. Дані введено | Ви ввели пароль, одноразовий код, номер картки чи інші дані для входу після сканування | Вважайте обліковий запис скомпрометованим і переходьте до кроків відновлення нижче |
Не скануйте код для перевірки, навіть на запасному пристрої. Сканування — це саме той крок, який завантажує сторінку.
Стан A: код ще не відскановано
Вам не потрібно встановлювати особу відправника, щоб захистити себе. Потрібно лише не користуватися надрукованим маршрутом.
- Не скануйте код і не відкривайте жодне коротке посилання, надруковане поруч із ним.
- Збережіть упаковку та етикетку. Сфотографуйте етикетку, рядок відправника та будь-який номер відстеження. Це для ваших власних записів, а не доказ того, що відправник легітимний.
- Перевірте, чи не замовляли ви насправді доставку. Скористайтеся застосунком перевізника чи продавця або сайтом, на який ви переходите самостійно, а не номером телефону чи посиланням з етикетки.
- Якщо посилка справді неочікувана і ви не можете зіставити її із замовленням, вважайте її незамовленою. Що ви можете з нею зробити, залежить від того, де ви живете; ця стаття не дає юридичних порад для жодної країни.
- Повідомте, якщо хочете. У США FTC публікує рекомендації для споживачів щодо шахрайських повідомлень і посилок. Способи повідомлення різняться залежно від країни, тому звертайтеся до місцевого органу захисту прав споживачів, а не припускайте, що діє американська процедура.
Посилка, що прийшла без відповідного замовлення, не обов’язково є злочином, а QR-код не обов’язково є шкідливим. Річ у тому, що за самою етикеткою цього не визначити, тож вам не потрібно ризикувати, щоб це з’ясувати.
FTC попереджає, що QR-код на неочікуваній посилці може вести на фішинговий сайт, який викрадає дані для входу чи оплати, або на шкідливе програмне забезпечення. Джерело
Стан B: відскановано, але нічого не введено
Якщо код відкрив сторінку, а ви зупинилися перед введенням даних, ваше головне завдання — підтвердити справжній стан облікового запису через маршрут, який ви контролюєте.
- Закрийте сторінку або запит у застосунку. Не «входьте, щоб скасувати» і не «підтверджуйте доставку» на сторінці, яку відкрив код.
- Відкрийте офіційний застосунок сервісу або введіть його адресу самостійно в новій вкладці браузера. Не використовуйте посилання зі сканування.
- Перевірте, чи існує заявлена подія. Якщо сторінка повідомляла, що посилку затримано, пошукайте таке саме повідомлення в обліковому записі перевізника чи продавця. Якщо там нічого немає, сторінка не була справжнім повідомленням.
- Не встановлюйте нічого, що пропонує сторінка. Запит на встановлення застосунку з QR-коду на посилці не є вимогою доставки, яку можна перевірити.
- Запишіть, що саме вимагала сторінка — пароль, номер картки, одноразовий код, плату за доставку — щоб точно описати це, якщо повідомлятимете.
Саме сканування не доводить, що ваші облікові записи було зламано. Ризик у цьому стані — це те, що ви робите далі, тому безпечна наступна дія — припинити користуватися надрукованим маршрутом.
Стан C: дані введено
Це стан, який потребує дій, і порядок має значення.
Якщо після сканування такого коду було введено дані облікового запису, FTC радить змінити пароль і ввімкнути двофакторну автентифікацію. Джерело
Виконайте ці кроки по черзі, користуючись власним застосунком облікового запису або сторінкою, на яку ви переходите самостійно:
- Змініть пароль з офіційного застосунку або сайту, а не зі сторінки, яку відкрив код.
- Увімкніть двофакторну автентифікацію, якщо вона ще не ввімкнена. Віддавайте перевагу застосунку-автентифікатору або апаратному ключу, а не SMS, якщо обліковий запис це пропонує.
- Змініть той самий пароль усюди, де ви його повторно використовували. Пароль, введений на фішинговій сторінці, слід вважати відомим комусь іншому.
- Якщо ви ввели дані картки чи банку, зв’яжіться з емітентом картки або банком за номером на вашій картці чи через його офіційний застосунок. Не використовуйте номер чи посилання з посилки або відсканованої сторінки. Ця стаття не обіцяє, що платіж можна скасувати.
- Зберігайте доступ до способу відновлення, доки не завершите. Не видаляйте свою електронну пошту, номер телефону чи коди відновлення, доки зміна пароля й налаштування двофакторної автентифікації не підтверджені як робочі, інакше ви можете заблокувати собі доступ.
- Перегляньте нещодавню активність облікового запису в офіційному застосунку: місця входу, підключені застосунки, правила пересилання та способи оплати. Скасуйте все, чого не впізнаєте.
Видалення з’єднання для входу або редагування профілю — це не те саме, що видалення збережених даних. Якщо ви повністю закриваєте обліковий запис, дотримуйтеся власної процедури закриття від постачальника послуг і зберігайте робочий спосіб відновлення, доки закриття не буде підтверджено.
Використовуйте відомі маршрути до облікових записів, а не надрукований код
На етикетці посилки можна надрукувати будь-яку адресу, номер телефону чи QR-код. Вона не може довести, кому належить пункт призначення. Для будь-якого рішення щодо облікового запису — скидання пароля, підтвердження доставки, оплата, повернення коштів — починайте з маршруту, якому ви вже довіряєте:
| Завдання | Надійна відправна точка |
|---|---|
| Підтвердити доставку | Застосунок перевізника чи продавця або адреса, яку ви вводите самостійно |
| Скинути пароль | Офіційний застосунок або сайт сервісу чи його задокументована процедура відновлення облікового запису |
| Перевірити платіж | Застосунок вашого банку чи емітента картки або номер на вашій картці |
| Повідомити про підозріле повідомлення | Місцевий орган захисту прав споживачів; у США — опубліковані рекомендації FTC |
Якщо повідомлення нібито від служби підтримки просить перенести розмову в чат-застосунок або «підтвердити» вхід, діє те саме правило: підтверджуйте через власний застосунок сервісу. Про цю окрему ситуацію див. перевірка фейкових акаунтів служби підтримки в соцмережах.
Збіг публічного імені користувача — це зачіпка, а не доказ володіння. Якщо ви намагаєтеся з’ясувати, хто стоїть за ніком, який з вами зв’язався, пошук за іменем користувача, як-от TraceSeek, може показати, де цей нік з’являється на 3 000+ платформах, але він не змінює налаштування облікового запису, не видає коди відновлення, не повертає гроші й не підтверджує справжню особу.
Чого не слід робити висновків
- Не кожне сканування QR-коду встановлює шкідливе програмне забезпечення. FTC описує фішинг і шкідливе програмне забезпечення як можливі наслідки; вона не стверджує, що кожне сканування призводить до того чи іншого.
- Відсканована сторінка, що виглядала справжньою, не є доказом, що вона справжня. Перевіряйте заявлену подію у власному застосунку сервісу.
- Посилка без відповідного замовлення не встановлює особу відправника. Не вважайте ім’я чи зворотну адресу на етикетці перевіреними.
- Правила щодо незамовлених товарів різняться залежно від країни. Ця стаття не поширює жодне національне правило на інші ринки.
- Зміна пароля не гарантує відновлення. Вона зменшує ризик; чи буде відновлено обліковий запис або платіж, залежить від постачальника послуг.
Коротка пам’ятка, яку можна скопіювати
Заповніть її перед тим, як діяти, щоб потім не довелося відновлювати події:
- Стан: A / B / C
- Дата й час сканування (якщо було):
- Чим представлялася сторінка або запит (перевізник, продавець, банк, інше):
- Що вона вимагала (пароль / одноразовий код / номер картки / плата / встановлення застосунку):
- Що ви ввели, якщо взагалі вводили:
- Уражені облікові записи:
- Пароль змінено: так / ні — з офіційного застосунку чи сайту: так / ні
- Двофакторну автентифікацію ввімкнено: так / ні
- Спосіб відновлення досі доступний: так / ні
- Емітента картки повідомлено (якщо введено дані картки): так / ні
- Куди повідомлено (місцевий орган, перевізник, продавець):
Коли завершите, корисна наступна дія — підтвердити кожен уражений обліковий запис у його власному застосунку: пароль змінено, двофакторну автентифікацію ввімкнено, спосіб відновлення працює, і немає невпізнаних сеансів чи підключених застосунків.