(342) 2-155-177
19. 2. 2020 |
09:11|
QR-платежи: изучаем технику безопасности

 

QR-платежи начали работать в российских магазинах с лета прошлого года в рамках второго этапа развития системы быстрых платежей, которую Банк России запустил в конце января 2019 года для денежных переводов между физическими лицами по номеру телефона. В первый год работы этого сервиса ЦБ также установил нулевые комиссии для банков. С 2020 года банки будут платить ЦБ от 0,5 до 3 руб. за перевод.

 

Оплата покупок одним касанием банковской карточки или смартфона уже стала обычным делом. Однако в небольших магазинах и киосках часто все равно требуют наличку – не всем по карману POS-терминалы. Впрочем, скоро современные технологии дойдут и до малого бизнеса: систему оплаты по QR-кодам, не требующую специального оборудования, в нашей стране запускают сразу три крупных организации – Центробанк, Сбербанк и Visa. Рассказываем, как работает эта система, в чем ее удобство и о каких опасностях стоит помнить.

 
QR-коды – от Японии до России

 
QR-код – по сути тот же штрихкод, только может хранить больше информации и при этом легко распознается считывающим оборудованием. Его изобрели в Японии четверть века назад, когда выяснилось, что существующие виды штрихкодов не отвечают потребностям местной промышленности.

 
Изначально QR-кодами пользовались автопроизводители для оптимизации рабочих процессов. Однако с развитием Интернета и мобильных гаджетов эта технология нашла куда более широкое применение: с ее помощью обмениваются ссылками и контактами, отправляют SMS, скачивают приложения и так далее. А еще – оплачивают покупки.

 
Небывалую популярность платежи с помощью QR-кодов приобрели в Китае. Жители Поднебесной пользуются этой технологией везде – от транспорта до уличных палаток с едой. В стране действует несколько платежных систем, которые ее поддерживают: Alipay, WeChat Pay, UnionPay.

 
Своя система QR-платежей существует в Индии, хотя и не применяется так широко. Постепенно квадратные коды завоевывают рынок и в других азиатских странах, например в Южной Корее. Кроме того, эту технологию поддерживают некоторые крупные международные платежные системы вроде PayPal.

 
В России тоже уже переводят деньги с помощью QR-кодов. Так, в некоторых регионах их можно встретить на квитанциях для оплаты коммунальных услуг, а клиенты банка ВТБ могут рассчитываться между собой, создавая и сканируя такие коды. С февраля 2019 года QR-платежи принимают также в российских ресторанах сети Burger King.

 
В ближайшее время квадратные штрихкоды займут куда более заметное место на отечественном рынке. В конце прошлого года Сбербанк начал внедрять в разных регионах России систему «Плати QR». В этом году поддержку QR-кодов на территории страны вводит Visa. Также эту технологию как часть «Системы быстрых платежей» протестирует
Центробанк РФ.

 
Как работают QR-платежи

 
Существует два способа оплатить покупку с помощью QR-кода.

 
Вариант 1. QR-код создает продавец. Это может быть статический код, содержащий информацию о его счете, или динамический – с информацией о транзакции.

 
Статический код можно распечатать на бумаге и вывесить или установить на кассе. Покупатель сканирует этот код при помощи платежного приложения – на экране смартфона отображается получатель перевода – вводит сумму покупки и подтверждает оплату.

 
Динамический код продавец формирует «на ходу» и выводит его, например, на экран кассы или планшета. В этом случае сумма покупки уже содержится в коде, так что клиент только сканирует его и подтверждает оплату.

 
Вариант 2. QR-код создает покупатель при помощи платежного приложения. В таком случае код всегда одноразовый. Продавец сканирует его с помощью специального устройства, и со счета покупателя списывается нужная сумма.

 
Конкретные торговые точки и платежные приложения могут поддерживать как оба варианта оплаты, так и только один из них.

 

 
Чем удобны QR-коды?

 
QR-платежи имеют несколько преимуществ перед другими способами оплаты покупок. В первую очередь, они позволяют не носить с собой наличные деньги и банковские карты. Все необходимые для проведения транзакции данные доступны из платежного приложения.

 
При этом в отличие от систем на основе технологии NFC, таких как Apple Pay или Google Pay, в случае QR-платежей нет никаких особых требований к устройству вроде наличия NFC-чипа. Установить платежное приложение, поддерживающее QR-коды, вы сможете практически на любой смартфон под управлением iOS или Android. Главное – чтобы программа была совместима с вашей версией операционной системы.

 
Привлекательны QR-платежи и для предпринимателей. Малый бизнес сможет сэкономить на приобретении банковского терминала: даже сканер созданных покупателем QR-кодов стоит в разы дешевле. Если же компания предпочитает использовать собственный код, ей достаточно напечатать его на обычном листе бумаги.

 
Кроме того, QR-коды могут снизить расходы предпринимателей на комиссию банков за прием безналичных платежей. Так, Центробанк планирует установить предельное значение комиссии на уровне 0,4–0,5%, тогда как владельцы POS-терминалов, работающих с пластиковыми картами, отчисляют финансовым организациям 1,5–2,5% от суммы транзакции.

 
Воровство с помощью QR-кодов

 
Как показал опыт внедрения QR-кодов в Китае, технологию с успехом освоили не только торговцы, но и мошенники. С ее помощью киберпреступники успешно крадут средства с чужих счетов.

 
Проблема в том, что отличить QR-код магазина от QR-кода злоумышленника на глаз невозможно. Если торговая точка использует статический код, киберпреступник может просто заклеить его своим. Создать QR-код с личным счетом не проблема: приложения-генераторы можно бесплатно скачать на смартфон или найти онлайн. И если в крупном магазине может быть сложно уличить момент, когда никто не видит, что происходит на кассе, то дождаться, пока отвлечется уличный продавец, или подменить код в автоматизированной торговой точке не так трудно.

 
Например, студент из китайской провинции Гуандун решил покататься на велосипеде. В пункте проката возле общежития он просканировал QR-код, не заметив, что тот наклеен поверх другого. Молодой человек, не задумываясь, провел платеж, но замок на велосипеде не открылся: деньги ушли мошенникам.

 
Похожий инцидент произошел и в Шанхае. Водитель обнаружил на автомобиле штрафную квитанцию за неправильную парковку и оплатил ее по напечатанному на ней QR-коду. Через несколько дней он получил напоминание от полиции о неуплаченном штрафе.

 
Угон QR-кода из-под носа покупателя

 
Одноразовые QR-коды выглядят более надежными, однако и ими могут злоупотребить. Например, в Китае клиент ресторана после окончания трапезы попросил счет и сгенерировал QR-код в своем смартфоне, чтобы расплатиться. Пока он рассчитывался, ему пришло уведомление о снятии средств со счета, однако получателем почему-то значилась бильярдная.

 
Клиент этот оказался полицейским. Он быстро поднял персонал ресторана на уши и запросил запись с камеры наблюдения. Видео прояснило ситуацию: стоявший за спиной полицейского злоумышленник просто-напросто сфотографировал QR-код на смартфоне блюстителя порядка и тут же расплатился им… с самим собой. Хитроумный мошенник заранее зарегистрировал на себя бильярдную и установил на смартфон приложение, которое работает как QR-сканер для бизнеса. Впоследствии эту программу заблокировали.

 
Бережем счет

 
В Китае проблему воровства через QR-коды решают радикально: власти ввели ограничение на транзакции с ними. Граждане страны могут потратить таким образом не больше 500 юаней (чуть меньше 5 000 рублей) с одного аккаунта в день. Однако мы не можем сейчас сказать, какие меры безопасности примут отечественные банки. Кроме того, лимит на покупки через QR-код не защитит вас от потерь в пределах этого лимита.

 
Поэтому мы рекомендуем в первую очередь быть внимательными!

 
Перед подтверждением оплаты проверяйте сумму перевода и наименование получателя. Если вы оплачиваете, скажем, штраф, а отображается это как перевод частному лицу – тут явно что-то не так.

 
Прежде чем сканировать QR-код, убедитесь, что он не наклеен поверх другого. Иногда это видно невооруженным взглядом, но не будет лишним и пощупать табличку с кодом.

 
Проверяйте QR-коды с помощью специальных приложений, распознающих вредоносный контент. Для этой цели у нас есть, например, Kaspersky QR Scanner (iOS, Android).

 
Если вы генерируете платежный код на своем смартфоне, делайте это непосредственно в момент оплаты, тогда у мошенников не будет времени его перехватить.

 
Перед тем как сгенерировать код, на всякий случай проверяйте, не смогут ли его увидеть посторонние.

 
Также не повредит защитить то устройство, которое вы будете использовать для оплаты с помощью QR-кодов.