Ссылки для входа по QR-коду могут использоваться для перехвата аккаунтов. Как рассказал Lenta.ru старший аналитик безопасности веб-приложений компании «Гарда» Егор Боровинских, риск возникает, если пользователь подтверждает запрос на авторизацию, который инициировал другой человек.
При обычном входе сервис показывает QR-код на экране компьютера, а пользователь сканирует его смартфоном, где уже открыт нужный аккаунт. По словам эксперта, мошенник может открыть такую страницу на своем устройстве, извлечь из кода ссылку и прислать ее потенциальной жертве. Переход способен вызвать запрос в официальном приложении, но подтверждение авторизует чужой сеанс.
Такая механика применима к сервисам, где поддерживается вход через QR-код, в том числе к банкам, маркетплейсам и мессенджерам. Поэтому внешний вид официального приложения сам по себе не означает, что запрос на вход безопасен.
Специалист советует не переходить по неожиданным ссылкам авторизации, пользоваться только встроенным сканером приложения и отклонять незнакомые запросы на вход. Банк России также рекомендует не открывать подозрительные ссылки и никому не сообщать коды подтверждения.