• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• КИИ в облаке
• 10 лет российского бэкапа
• SDN: Сеть как дом
• История облаков
• 30 лет ERP России
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• ИТ-бизнес
• Рейтинги

22 Октября 2026 10:23 22 Окт 2026 10:23 |

В «Гарде» предупредили о риске захвата аккаунтов через QR-коды, используемые для входа в цифровые сервисы. В ходе аудита безопасности веб-приложений специалисты компании неоднократно обнаруживали ошибки в механизмах QR-авторизации, позволяющие злоумышленникам получать доступ к чужим аккаунтам без кражи паролей. Для этого достаточно обманом заставить пользователя подтвердить вход через официальное мобильное приложение. Об этом CNews сообщили представители «Гарды».

Как объяснили в компании, авторизация через QR-коды широко используется в банках, маркетплейсах, мессенджерах и других цифровых сервисах. Обычно пользователь сканирует код с экрана компьютера смартфоном, на котором уже выполнен вход в приложение, и подтверждает авторизацию. Однако при определенных ошибках этот механизм может использоваться злоумышленниками.

Атакующий открывает страницу входа в сервис на своем устройстве и получает QR-код для авторизации. Затем извлекает из него специальную ссылку (диплинк) и отправляет ее потенциальной жертве через мессенджер или почту.

Когда пользователь переходит по этой ссылке, на его устройстве автоматически открывается официальное приложение с запросом на вход. Пользователь нажимает на кнопку подтверждения и злоумышленник получает доступ к аккаунту и всем данным.

«Главная опасность этой схемы – риск кражи личных данных и денег через аккаунт пользователя в банках и маркетплейсах. При этом атака происходит через легитимный сервис, а распознать такое мошенничество сложно, так как в запросе на подтверждение входа не всегда указано, с какого устройства и из какого местоположения выполняется вход», — сказал Егор Боровинских, старший аналитик безопасности веб-приложений компании «Гарда».

По словам эксперта, снизить риск можно, ограничив способы запуска QR-авторизации. Лучше использовать только встроенный сканер, исключая возможность ручного открытия таких ссылок. Боровинских также рекомендует пользователям не подтверждать незнакомые запросы на авторизацию, даже если они поступают через официальное приложение.