Все говорят «не сканируйте подозрительные QR», но не объясняют главного: подозрительный от нормального отличить невозможно в принципе. Это же просто квадрат из шума.

Решил разобраться руками: сгенерировал коды, поломал их, декодировал обратно.

Опыт 1. Два кода, один символ разницы

Взял два адреса, отличающихся одним знаком — во втором вместо буквы «o» стоит ноль:

Матрица у обоих одинаковая, 29×29. Различаются они в 179 модулях из 841 — это 21% картинки.

Казалось бы, пятая часть заметна. Но любой QR — чёрно-белая крошка, отличить один узор шума от другого глазом невозможно. Оба кода честно декодировались каждый в свой адрес.

Разница между настоящим кодом и подделкой физически есть, но человеку она недоступна. Совета «внимательно посмотрите на код» не существует.

Опыт 2. Сколько можно заклеить

Сначала пара слов про устройство кода, иначе дальше будет непонятно.

При печати QR выбирают уровень коррекции ошибок — сколько запасных данных положить внутрь на случай царапин и грязи. Уровней четыре: L, M, Q и H, от минимального запаса к максимальному. Чем выше уровень, тем больше повреждений код переживёт и тем крупнее сам рисунок.

Пример: в кодах с логотипом посередине всегда стоит H — логотип закрывает часть данных, и без запаса такой код не читался бы.

Уровень выбирает тот, кто печатает. Со стороны его не определить.

Я сделал по коду на каждом уровне и заклеивал центр белым квадратом, увеличивая площадь:

На максимальном уровне код пережил дыру в 15% площади — квадрат 14×14 модулей из 37×37 прямо посередине — и выдал адрес, будто ничего не произошло.

Оговорюсь: в спецификации для H заявлено до 30%, но там речь про мелкие повреждения по всему полю. Сплошной кусок переносится хуже, мои 15% это и показали.

А теперь главное, ради чего опыт затевался.

Я начинал с гипотезы, что именно избыточность делает возможной уличную подмену: мошенник заклеивает часть кода и перенаправляет его на себя. Гипотеза неверна. Заклеенный кусок даёт одно из двух: код либо перестаёт читаться, либо продолжает вести на настоящий адрес. Данные внутри так не перепишешь.

Реальная схема грубее: сверху лепят целый свой код, и коррекция ошибок тут ни при чём.

Зато опыт показал другое, и это неприятнее. Телефон не отличает целый код от покалеченного: потёртый, залепленный, с логотипом поверх — он молча читает и открывает ссылку.

Значит, если код подменили или испортили, сигнала вы не получите. Заметить можно только глазами, посмотрев на сам носитель. Чего мы, конечно, не делаем.

Опыт 3. Что вообще влезает в QR

Все думают, что QR — это всегда ссылка. Проверил, что ещё туда влезает:

Всё декодировалось без искажений. Код на столике кафе может не открыть сайт, а подключить телефон к чужой точке доступа, подставить номер в звонилку или открыть банковское приложение на экране перевода.

Последняя строка — отдельная беда: сокращённая ссылка не показывает конечный адрес даже в предпросмотре сканера.

Разборы таких схем и статьи по кибербезопасности — в канале.

Мини-тест: где риск выше

Не подглядывая вниз — что опаснее?

А. QR на бумажном объявлении у подъезда

Б. QR на кассовом чеке

В. QR-наклейка на парковочном автомате

Г. QR на ламинированной табличке в кафе

Ответ: А и В. Бумажку и наклейку заменит кто угодно за пять секунд, не оставив следов. Чек печатается в момент покупки, ламинат требует возни — хотя поверх него наклейка ложится прекрасно.

Принцип: чем легче физически заменить носитель, тем меньше коду доверия.

Что делать

Смотрите адрес в предпросмотре сканера до перехода — это единственный момент, когда ссылку видно.

Проверяйте край наклейки: приподнятый уголок, свежий клей, код криво относительно рамки — признаки накладки.

Для оплаты парковки, ЖКХ и штрафов не используйте QR со стенда — откройте приложение сами.

Показал сокращённую ссылку — не переходите. Легальные сервисы прячут адрес редко, мошенники — всегда.

Ещё материалы по теме и разборы свежих схем.

А теперь в комментарии: сканировали QR на улице не глядя? Я — да, за парковку, и после эксперимента мне слегка не по себе.

Уведомление от Пикабу об обновлении политики хранение, обработки и использования моих персональных данных. И вот список организаций кто то проводил расследование что это за контора ну отдельные это понятно типа жёлтого банка.. А которые со странными названиями типа аванпоста это что за спамеры?

Третьи лица, обрабатывающие персональные данные по поручению ООО «Пикабу»
Список лиц, которые имеют право обрабатывать персональные данные по поручению ООО "Пикабу" для достижения целей, указанных в Согласии на обработку персональных данных:

Действует полное согласие на обработку персональных данных:

ООО «Нотисенд», 634045, Томская обл., г. Томск, ул. Мокрушина, д. 1, офис 120
ООО «Яндекс», 119021, г. Москва, ул. Льва Толстого, д. 16
ООО «ДДОС-ГВАРД», 344019, Ростовская обл., г. Ростов-на-Дону, ул. Максима Горького, д. 276, этаж 5, офис 11
ООО «Письмо», 191024, Санкт-Петербург, ул. Херсонская, д. 8, лит. А, пом. 9-Н
ООО «СМС-центр», 123112, г. Москва, вн.тер.г. муниципальный округ Пресненский, наб. Пресненская, д. 6, стр. 2, помещ. 5301
АО «ТБанк», 127287, г. Москва, 2-я Хуторская ул., д. 38А, стр. 26
ООО НКО «ЮМани», 115035, г. Москва, Садовническая ул., д. 82, стр. 2
ООО «Айтигрупп», 390035, Рязанская обл, г. Рязань, ул. Островского, д. 21, к. 2, офис 303А, этаж 3
ООО «Аванпост», 127015, г. Москва, ул. Новодмитровская, д. 2, к. 1, пом. 1/4, пом. XXXV

Или большинство плевать хотело на все эти юридические буковки? Помните, в интернете уже практически нет никакой анонимности..