Какво е куишинг (quishing) и как QR кодовете могат да бъдат използвани за измами?

QR кодовете са навсякъде – в ресторанти, магазини, паркинги, реклами, билети за събития и дигитални платформи. Сканираме ги за секунди, често без да се замисляме какъв интернет адрес се крие зад тях. Именно този навик използват измамниците чрез метод, наречен куишинг (quishing). Как работи измамата с QR кодове, какви опасности крие и как да се защитим?

Какво е куишинг (quishing)?

Куишинг (quishing) е разновидност на фишинга, при която престъпниците използват QR кодове, за да насочат потребителите към фалшиви интернет страници или да ги подведат да извършат опасни действия.

Терминът произлиза от съчетанието на QR code и phishing.

За разлика от класическия фишинг, при който човек получава подозрителен линк в имейл или съобщение, при куишинга интернет адресът е скрит в QR код.

Потребителят вижда квадратна графична фигура, която изглежда напълно обикновена. След сканирането телефонът разчита съдържащата се информация и обикновено предлага отваряне на интернет страница.

Точно там може да започне измамата.

Кодът може да води към сайт, имитиращ банкова услуга, платежна система, социална мрежа или страница за регистрация.

Важно е да се разбере, че самият QR код не е вирус. Той е начин за съхраняване и предаване на информация. Опасността произтича от съдържанието му и от действията, които потребителят предприема след сканирането.

Как работи измамата с QR кодове?

Представете си, че паркирате автомобила си на обществен паркинг.

До паркомата има стикер с QR код и надпис „Сканирайте, за да платите“.

Отваряте камерата на телефона, сканирате кода и попадате на страница, която изглежда като официална платежна платформа.

Избирате престой, въвеждате данните на банковата си карта и потвърждавате плащането.

Но впоследствие се оказва, че някой е залепил фалшив QR код върху оригиналния.

Вместо към действителния оператор на паркинга сте били пренасочени към сайт, контролиран от измамници.

Те могат да събират платежни данни, да изискват допълнителни кодове или да се опитат да извършат неразрешени операции.

Това не е само хипотетична ситуация. За подобна схема с подменени QR кодове на паркинги предупреждава американската Федерална търговска комисия (FTC) през септември 2026 г.

Престъпниците разчитат на доверието ни към мястото, където е поставен кодът. Потребителят може да смята, че щом стикерът е върху официален паркомат, той непременно е поставен от неговия оператор.

Но физическото разположение не доказва автентичността на QR кода.

Реални случаи: как измамниците използват QR кодове?

Подменени QR кодове на паркинги

На 3 септември 2026 г. Федералната търговска комисия на САЩ публикува предупреждение за измамни QR кодове, поставяни върху оригиналните кодове на паркомати.

Според институцията целта е потребителите да бъдат пренасочени към фалшиви сайтове, предназначени за кражба на пари или лична информация.

Препоръката е преди отваряне на страницата да се провери действителният интернет адрес и да се потърсят правописни грешки или подменени букви.

Официалното предупреждение е публикувано на сайта на FTC.

Неочаквани пратки с QR кодове

На 31 юли 2025 г. Федералното бюро за разследване на САЩ (ФБР) предупреди за друга разновидност на измамата.

Граждани получават непоръчани пратки, в които има QR код. Понякога липсва информация за изпращача.

Любопитството може да накара получателя да сканира кода, за да разбере откъде идва пратката и защо е изпратена.

Така той може да попадне на фалшив сайт, изискващ лични и финансови данни, или да бъде подведен да изтегли злонамерен софтуер.

ФБР разглежда този подход като разновидност на измамите с непоръчани пратки, известни като brushing scams.

Този случай показва, че QR кодът може да бъде използван като примамка дори когато не е свързан с плащане.

Фалшиви QR кодове в електронни писма

През януари 2026 г. ФБР предупреди и за целенасочени фишинг кампании, при които злонамерени QR кодове се поставят в имейли.

При този подход получателят чете съобщението на компютъра си, но сканира кода със своя телефон.

Така измамниците се опитват да пренесат атаката от служебния компютър към мобилно устройство, което може да има различни или по-слаби механизми за защита.

Тази техника е особено интересна от гледна точка на корпоративната киберсигурност, защото обикновеното сканиране на линкове в електронната поща може да не разпознае опасния адрес, скрит в изображението.

Къде можем да срещнем измамни QR кодове?

QR кодове в ресторанти и заведения

Много ресторанти използват QR кодове за достъп до менюто, поръчки и плащане.

Обикновено това е удобна и легитимна практика.

Риск може да възникне, ако оригиналният код бъде подменен със стикер, който води към чужд сайт.

Например клиентът очаква да отвори меню, но страницата изисква регистрация с парола или въвеждане на банкова карта, без да има ясна причина за това.

В подобна ситуация е разумно да потърси съдействие от персонала.

QR кодове на паркинги и автомати

Автоматите за паркиране, зарядните станции и други устройства за самообслужване са удобни места за поставяне на платежни QR кодове.

Ако кодът изглежда допълнително залепен, покрива стар стикер или води към непознат адрес, проверете информацията преди плащане.

При възможност използвайте официалното приложение или посочения от оператора начин за плащане.

QR кодове върху рекламни плакати

Рекламите често приканват потребителите да сканират код за отстъпка, специално предложение или участие в игра.

Измамниците могат да поставят собствен стикер върху оригиналната реклама.

Така човек може да попадне на страница, която имитира промоционална кампания и изисква лични данни.

QR кодове за билети и събития

QR кодовете се използват широко за достъп до концерти, конференции, изложби и други събития.

Възможна измамна схема е фалшив код, който обещава регистрация, отстъпка или потвърждение на билет.

За създателите на съдържание това е особено актуално, тъй като инфлуенсърите често посещават събития и получават дигитални покани.

QR кодове в социалните мрежи

QR код може да бъде публикуван като изображение в социална мрежа, изпратен в лично съобщение или включен в рекламна кампания.

Потребителят може да бъде поканен да го сканира за подарък, промоционален код, нови последователи или достъп до специално съдържание.

Ако след сканиране се изисква въвеждане на парола за Instagram, Facebook или друга услуга, задължително трябва да се провери автентичността на страницата.

Защо QR кодовете изглеждат по-надеждни от обикновените линкове?

Когато получим линк в електронната си поща, понякога можем да забележим, че адресът изглежда подозрителен.

При QR кода адресът не е видим, преди да бъде разчетен.

Освен това кодовете се използват толкова широко, че са се превърнали в символ на бърз и удобен достъп до информация.

Те присъстват върху официални документи, билети, менюта, продукти и платежни устройства.

Това може да създаде погрешното впечатление, че самото наличие на QR код е знак за легитимност.

Всъщност създаването на QR код е лесно и достъпно за всеки.

Престъпниците не е необходимо да проникват в информационната система на дадена организация, за да създадат код, който насочва към фалшив сайт.

Те могат просто да отпечатат собствено изображение и да го поставят върху действителния код.

Как да проверим дали QR кодът е безопасен?

Невинаги можем да определим дали QR кодът е измамен само по външния му вид.

Затова проверката трябва да обхваща както физическия код, така и интернет адреса, към който той води.

Проверете дали кодът не е подменен.

Обърнете внимание на стикери, поставени върху други стикери, неравномерно залепване или видими следи от промяна.

Прегледайте интернет адреса, преди да го отворите.

Много телефони показват предварителна визуализация на адреса след сканиране.

Проверете дали домейнът принадлежи на очакваната организация.

Бъдете внимателни с непознати и съкратени адреси.

Съкратеният линк не означава непременно измама, но може да затрудни предварителната проверка на крайната дестинация.

Не предоставяйте поверителни данни без основание.

Ако сканирате код за ресторантско меню, но страницата иска банкова парола или лични документи, това е сериозен предупредителен сигнал.

Не инсталирайте приложение от непознат сайт.

Ако QR кодът изисква изтегляне на приложение, потърсете го самостоятелно в официалния магазин за приложения.

Използвайте вградената камера на телефона.

Обикновено не е необходимо да инсталирате допълнителни приложения за сканиране на QR кодове.

Може ли телефонът да бъде заразен само със сканиране на QR код?

При съвременните телефони самото разчитане на QR код с вградената камера обикновено не води до заразяване.

Рискът най-често възниква след отваряне на опасен адрес, изтегляне на приложение, предоставяне на разрешения или въвеждане на поверителни данни.

Съществуват и по-сложни атаки, които могат да използват уязвимости в софтуера, но те не са типичният механизъм на масовите куишинг измами.

Затова е важно операционната система, браузърът и приложенията да бъдат актуализирани.

Не всяко сканиране на непознат QR код е равнозначно на компрометиране на устройството.

Но не бива и да се предполага, че всяко действие след сканирането е безопасно.

Какво да направим, ако вече сме сканирали измамен QR код?

Първо установете какво точно сте направили след сканирането.

Ако само сте видели интернет адреса

Ако не сте отворили страницата, не сте въвели информация и не сте предприели друго действие, рискът обикновено е нисък.

Не отваряйте подозрителния адрес.

Ако сте отворили страницата

Затворете я, без да въвеждате данни или да изтегляте файлове.

Проверете дали телефонът е актуализиран и дали не са се появили необичайни разрешения или известия.

Ако сте въвели парола

Отворете официалния сайт на съответната услуга по независим начин и сменете паролата.

Ако я използвате и другаде, сменете я и в останалите профили.

Проверете активните сесии, свързаните устройства и настройките за възстановяване на акаунта.

Ако сте предоставили банкови данни

Незабавно се свържете с обслужващата банка.

Поискайте проверка на картата и извършените операции, а при необходимост – блокиране и преиздаване на платежния инструмент.

Не изчаквайте да забележите първата подозрителна транзакция.

Ако сте инсталирали приложение

Прекратете използването на подозрителното приложение, не предоставяйте допълнителни разрешения и потърсете техническа помощ, ако има съмнение за компрометиране на устройството.

При необходимост сменете паролите си от друго, надеждно устройство.

Каква е разликата между куишинг, фишинг, смишинг и вишинг?

Всички тези методи използват подвеждане, но се различават по начина, по който атаката достига до потребителя.

Фишинг (phishing) е общото понятие за измами, при които престъпниците се представят за доверен източник, за да получат информация или да предизвикат опасно действие. Прочетете повече в материала „Какво е фишинг (phishing) и как да се предпазим?“.

Смишинг (smishing) използва SMS съобщения. Подробности и примери ще откриете в статията „Какво е смишинг (smishing) и как да разпознаем измамните SMS-и?“.

Вишинг (vishing) използва телефонни обаждания или друга гласова комуникация. Повече за него прочетете в материала за вишинг и телефонните измами.

Куишинг (quishing) използва QR код като средство за пренасочване към измамно съдържание.

Една престъпна кампания може да комбинира няколко от тези методи.

Например измамник може да изпрати SMS с изображение на QR код, който води към фалшива банкова страница. След това може да последва телефонно обаждане с указания за потвърждаване на операция.

Затова разпознаването на отделните термини е полезно, но още по-важно е да разбираме общия механизъм на измамата.

Защо куишингът е риск за инфлуенсърите и организаторите на събития?

Създателите на съдържание, организаторите на събития и маркетинговите специалисти често използват QR кодове в кампании, презентации, промоционални материали и дигитални покани.

Те са удобен начин за преминаване от физическо към онлайн съдържание.

Но ако кодът бъде подменен или води към компрометирана страница, това може да създаде риск за аудиторията.

Например QR код върху рекламен плакат може да отвори фалшив формуляр, който събира лични данни под претекст за участие в игра.

При събития измамниците могат да използват фалшиви страници за регистрация, продажба на билети или потвърждаване на участие.

При популярни профили в социалните мрежи QR код може да се използва като примамка за уж ексклузивно съдържание или подарък.

За инфлуенсърите това е въпрос не само на сигурност, но и на професионална репутация.

Ако аудиторията бъде подведена чрез рекламен материал, който изглежда свързан с определен създател на съдържание, доверието към него може да бъде засегнато.

Как бизнесът може да защити собствените си QR кодове?

Организациите, които използват QR кодове, също имат роля в ограничаването на риска.

Добра практика е да се използват ясни и разпознаваеми официални интернет адреси.

При физически материали, поставени на обществени места, е полезно периодично да се проверява дали кодовете не са подменени.

При плащания може да се посочи и алтернативен официален начин за достъп до услугата.

Организаторите на събития могат да предоставят информация кои адреси са действителни и дали регистрацията изисква заплащане.

Ако се използват динамични QR кодове, при които крайната дестинация може да бъде променяна, достъпът до системата за управление трябва да бъде добре защитен.

Важно е също да се проверява какви услуги за генериране на кодове се използват и дали те въвеждат ненужни междинни пренасочвания.

Къде да подадем сигнал за измамен QR код?

Ако откриете подозрителен QR код на паркомат, рекламно табло или в търговски обект, уведомете организацията или оператора, който отговаря за мястото.

При фалшив сайт, представящ се за банка или друга институция, подайте сигнал чрез официалните канали на съответната организация.

Ако сте предоставили банкови данни, незабавно уведомете банката.

При данни за престъпление можете да се обърнете към полицията или да използвате официалния портал за киберпрестъпност на ГДБОП – cybercrime.bg.

Запазете информацията за случая, включително интернет адреса, мястото на QR кода, снимка на подозрителния стикер и данни за евентуални плащания.

Не разпространявайте измамния QR код без ясно предупреждение, тъй като други хора могат да го сканират.

QR кодът е удобство, но не и гаранция за сигурност

QR кодовете са полезна технология. Те улесняват достъпа до информация, намаляват необходимостта от ръчно въвеждане на адреси и създават нови възможности за бизнес комуникация.

Не е необходимо да се отказваме от тях заради риска от измами.

Необходимо е обаче да променим начина, по който ги възприемаме.

QR кодът не е доказателство за автентичност. Той е просто начин за предоставяне на информация.

Същият код, който днес ни отвежда към меню на ресторант или официална регистрационна форма, може да бъде подменен с друг, който насочва към измамна страница.

Най-важното правило е просто: преди да се доверите на QR код, проверете къде ви отвежда. Преди да предоставите лични или банкови данни, проверете на кого ги предоставяте.

Този навик може да предотврати финансови загуби, кражба на лични данни и компрометиране на дигитални профили.