Курьер с QR-кодом: как работают мошенники и что делать после сканирования

Курьер с QR-кодом — схема, в которой мошенники под видом доставки просят отсканировать код «для подтверждения получения», «доплаты за доставку» или «отслеживания посылки». Код ведёт на поддельную страницу оплаты, фальшивый вход в Госуслуги или к скачиванию приложения. Если вы уже отсканировали код, первое действие зависит от того, что вы сделали дальше: ввели карту, назвали код, установили программу. Ниже — что делать в каждом случае и когда банк обязан вернуть деньги.

Обновлено: 5 ноября 2026

Как выглядит схема с курьером и QR-кодом

Сценарий рассчитан на то, что посылки сейчас ждут почти все, а курьер у двери не вызывает подозрений. Варианты встречаются разные.

• Курьер у двери. Привозит цветы «от тайного поклонника» или подарок «от бренда», которого вы не заказывали, и просит отсканировать код на коробке, чтобы «закрыть доставку» в системе.
• Доплата по QR. «Курьер» говорит, что доставка не оплачена или нужна страховка груза, и предлагает оплатить по своему коду. Код открывает поддельную страницу оплаты.
• Сообщение о посылке. Приходит СМС или письмо: посылка задержана, отсканируйте код или пройдите по ссылке, чтобы подтвердить адрес и оплатить хранение.
• Посылка с QR внутри. В коробке вместо товара — карточка с кодом и обещанием бонуса или подарка.
• Двойной звонок. Сначала «служба доставки» просит назвать код из СМС «для подтверждения», а затем звонят якобы из ведомства и сообщают, что ваши Госуслуги взломаны, предлагая «помощь».

Что происходит после сканирования

Само сканирование обычно только открывает страницу. Ущерб начинается с того, что вы на ней делаете.

Если вы скачали программу, считайте, что телефон под чужим контролем, пока его не проверили. Почему это опасно и как действовать, мы описали в разделе о схемах с удалённым доступом к телефону.

Порядок действий, если уже отсканировали код

1. Позвоните в банк по номеру на карте или из официального приложения. Если ставили неизвестное приложение — звоните с другого телефона. Заблокируйте карту и попросите проверить последние операции.
2. Подайте заявление о несогласии с операцией, если деньги уже списали. Срок короткий: незамедлительно, но не позднее дня, следующего за днём, когда банк прислал уведомление об операции (ч. 11 ст. 9 закона № 161-ФЗ).
3. Закройте доступ к Госуслугам, если вводили там данные: смените пароль, завершите чужие сеансы в разделе безопасности, проверьте «Согласия и доверенности». Подробная инструкция — в материале как восстановить доступ к взломанным Госуслугам.
4. Установите самозапрет на кредиты через Госуслуги: если мошенники получили доступ к аккаунту, следующим шагом бывает кредит на ваше имя.
5. Сохраните доказательства: фото коробки и кода, сообщения, номер телефона «курьера», адрес страницы, на которую вёл код, выписку по карте.
6. Подайте заявление в полицию — по номеру 102, в отделении или через интернет-приёмную МВД.

Вернут ли деньги: что зависит от вас, а что от банка

В схеме с QR-кодом деньги чаще всего списывают с карты, данные которой вы ввели на поддельной странице. Для закона это операция без добровольного согласия клиента, и правила здесь такие.

• Если вы уведомили банк вовремя, он обязан возместить сумму в течение 30 дней после заявления, а при трансграничном переводе — 60 дней, если не докажет, что вы нарушили порядок использования карты (ч. 15 ст. 9 закона № 161-ФЗ).
• Код из СМС, который вы сами ввели или продиктовали, банк почти наверняка назовёт таким нарушением. Спорить можно, особенно если в СМС не было понятно, что вы подтверждаете платёж, но гарантии нет.
• Если вы сами перевели деньги «за доставку» на карту частного лица, требуйте проверить, был ли получатель в базе данных Банка России. Если был и банк не задержал перевод, он обязан вернуть деньги в течение 30 дней (ч. 3.13 ст. 8).

Как читать ответ банка и что делать при отказе, разобрано в статье о возврате денег банком по 161-ФЗ. При отказе жалобу подают в Банк России через интернет-приёмную ЦБ.

Что написать в заявлении банку

Образец: «[Дата, время] ко мне обратился человек, представившийся курьером службы доставки, и предложил отсканировать QR-код для получения посылки. Код открыл страницу [адрес], оформленную как страница оплаты доставки. После ввода данных карты № [последние цифры] с неё без моего согласия списано [сумма] рублей [дата, время], получатель [если известен]. Операцию я не совершал и не согласен с ней. Уведомляю банк в соответствии с ч. 11 ст. 9 Федерального закона № 161-ФЗ и прошу возместить сумму операции. Прошу дать письменный ответ».

Для заявления в полицию пригодится та же хронология плюс приметы курьера, время визита и номер, с которого звонили. Как его оформить, чтобы дело не потерялось, — в инструкции как написать заявление в полицию.

Как проверить настоящую доставку

• Отслеживайте посылки только в приложении магазина или службы доставки, которое вы установили сами.
• Не платите курьеру по его QR-коду, если оплату при получении вы заранее не выбирали.
• Не называйте коды из СМС «для подтверждения доставки»: подтверждение получения так не делается.
• Если подарок «от поклонника» или «от бренда» пришёл без заказа, откажитесь от доставки и не сканируйте ничего на упаковке.
• Сомневаетесь — позвоните в службу доставки по номеру с её официального сайта, а не тому, что назвал курьер.

Частые вопросы

Источники и нормы

• Ст. 9 закона № 161-ФЗ: ч. 11 (срок уведомления), ч. 15 (возмещение за 30 дней, 60 при трансграничном переводе, если банк не докажет нарушение) — base.garant.ru
• Ч. 3.13 ст. 8 закона № 161-ФЗ — возврат за 30 дней, если получатель был в базе ЦБ — base.garant.ru
• Предупреждение полиции о посылках с QR-кодом, ведущим на вредоносный сайт (сайт администрации, 24.02.2026) — tatishhevskij-r64.gosuslugi.ru
• Варианты схемы: доплата по QR, ссылка отслеживания, двойной звонок (негосударственный проект, только как описание сценария) — netmoshennikam.ru
• Самозапрет на кредиты через Госуслуги — cbr.ru
• Порядок действий при списании, интернет-приёмная Банка России — cbr.ru
• Ст. 1102 ГК РФ — неосновательное обогащение — base.garant.ru