QR-код карты: что зашифровано и чем отличается от СБП

Что зашифровано в QR-коде карты

QR-код карты — код, кодирующий реквизиты для перевода средств на конкретную банковскую карту: номер карты целиком, его часть в связке с идентификатором банка-эмитента, либо ссылку на платёжную форму, где номер карты уже подставлен. Такой QR-код формируется в мобильном приложении банка — обычно в разделе «Реквизиты» или «Пополнить карту» — и предназначен для того, чтобы другой человек мог перевести деньги, просто отсканировав код, не переписывая шестнадцать цифр номера вручную.

В отличие от классического платежа по формату EMV QR MPM, где код формирует продавец (merchant-presented), QR-код карты чаще формирует получатель средств — частное лицо, которому нужно принять перевод. Формат данных внутри такого кода не подчиняется единому международному протоколу: разные банки и платёжные сервисы кодируют реквизиты по-своему, поэтому QR-код карты одного банка не всегда корректно читается платёжным сценарием другого приложения.

QR-код карты и платёжный QR по СБП — в чём разница

Платёж по СБП и перевод по QR-коду карты — разные механизмы, хотя внешне оба выглядят как сканирование квадратного кода. QR СБП работает через центральную инфраструктуру НСПК: получатель указывается номером телефона или расчётным счётом, деньги идут через межбанковский процессинг по единым правилам системы. Перевод физлицу по QR через СБП — стандартизированный сценарий, одинаково работающий в приложениях разных банков.

QR-код карты — прямой канал к номеру карты конкретного банка-эмитента. Перевод по такому коду обрабатывается как обычное зачисление на карту, а не через инфраструктуру СБП. На практике это означает разные комиссии, разные сроки зачисления и разную доступность в приложениях банков-получателей: не каждое приложение умеет сканировать QR-код карты стороннего банка и корректно извлекать из него номер.

Где сформировать и как использовать

QR-код карты формируется в разделе реквизитов внутри мобильного приложения банка: обычно достаточно открыть карту в списке, найти пункт «Поделиться реквизитами» или «QR-код для перевода» и получить готовое изображение. Полученный код можно показать с экрана телефона, сохранить как картинку для пересылки в мессенджере или распечатать.

Показательные примеры реализации в интерфейсах конкретных банков — в статьях QR-код Сбербанка и QR-код ВТБ: у каждого банка функция называется и располагается по-своему, но принцип общий — код кодирует данные для зачисления на конкретную карту.

Риски публикации QR-кода карты

Публикация QR-кода карты в открытом доступе — на сайте, в соцсетях, на бумажной табличке в общественном месте — сама по себе не даёт постороннему возможности списать деньги: код содержит реквизиты для зачисления, а не токен доступа к счёту. Тем не менее есть практический риск: недобросовестный человек может подменить опубликованный код своим собственным, и тогда переводы, предназначенные владельцу карты, уйдут на чужой счёт. Это разновидность атаки, описанной в материале про QR-фишинг (quishing).

Дополнительный риск — раскрытие номера карты целиком, если банк кодирует его без маскирования. Часть банков ограничивает публикуемые реквизиты последними цифрами номера или использует токенизированную ссылку вместо прямого номера карты, что снижает риск использования данных для операций, не связанных с переводом. Перед постоянной публикацией QR-кода карты — табличка в кафе, наклейка на кассе — рекомендуется уточнить в банке, какой именно формат данных использует конкретное приложение.

Частые вопросы

Можно ли списать деньги с карты, зная только QR-код карты?

Нет, код содержит реквизиты для зачисления средств на карту, а не данные для списания. Для оплаты с чужой карты дополнительно требуются полный номер, срок действия и CVC-код, которые в стандартном QR-коде карты для приёма переводов не кодируются.

Чем QR-код карты отличается от QR-кода СБП?

QR СБП — межбанковский стандарт: получатель определяется номером телефона или счёта, платёж идёт через единую инфраструктуру НСПК. QR-код карты — прямая ссылка на номер карты конкретного банка-эмитента, обрабатывается как зачисление на карту, а не перевод через СБП.

Как сгенерировать QR-код своей карты?

В мобильном приложении банка нужно открыть карту в списке и найти пункт «Реквизиты», «Поделиться QR-кодом» или аналогичный по названию. Приложение сформирует изображение, которое можно сохранить, переслать или показать с экрана для сканирования.

Безопасно ли публиковать QR-код карты в открытом доступе?

Сам по себе код не раскрывает доступ к счёту, но опубликованное изображение можно подменить на чужой QR-код — тогда переводы уйдут постороннему человеку. Для постоянных публичных мест (табличка, наклейка) рекомендуется периодически проверять, что код не заменён.

Почему QR-код карты одного банка не всегда сканируется приложением другого банка?

Формат данных внутри QR-кода карты не стандартизирован единым протоколом — каждый банк кодирует реквизиты по-своему. Приложение стороннего банка может не распознать структуру данных и не предложить сценарий перевода, даже если камера успешно считала сам код.

Можно ли использовать статический QR-код карты вместо реквизитов для регулярных переводов?

Да, это распространённый сценарий: один раз сформированный код можно распечатать или сохранить и использовать многократно для получения переводов от разных людей, если банк не ограничивает срок его действия.

QR-код карты — что это такое и зачем компании