QR-код на счёте, стойке и бейдже: куда он ведёт на самом деле

QR-код удобен именно тем, чем опасен. В нём не читается домен. Сотрудник наводит камеру на код из письма «оплата счёта» или на наклейку, которую приклеили поверх вашего кода на стойке. Открывается страница, похожая на банк, почту или вашу же форму. Дальше либо платёж, либо пароль.

Запретить коды в компании трудно: их печатают меню, пропуска и визитки. Достаточно правила для денег и входов. Код из письма не подтверждает смену реквизитов. Наклейку, которую вы не клеили, снимают и говорят тому, кто отвечает за офис. Ссылка на оплату с вашего сайта ведёт на известный адрес, а не на файл, который «так проще бухгалтерии».

Где это стыкуется с сайтом

• Страница оплаты не должна жить отдельным PDF, который легко подменить на хостинге.
• Форма заявки не просит пароль «для сверки». Пароль на публичной форме - уже плохой знак.
• Короткий адрес на визитке ведёт на ваш домен, а не через чужой сервис сокращения, который вы не контролируете.
• Если код ведёт в личный кабинет, у кабинета есть нормальный вход, а не только секретная ссылка.

Lexora проверяет такие входы в аудите сайта: куда ведут кнопки, файлы и формы, нет ли страницы, которая просит лишнее. Если код уже привёл к переводу или к входу в почту, это инцидент, и сначала сохраняют письмо, а не «перевыпускают всё подряд». Пентест здесь уместен, когда кабинет по ссылке из кода открывает чужие данные.