What's encoded in a Wi-Fi QR code?

A Wi-Fi QR uses the WIFI: URI scheme (originally a ZXing convention, since standardized by the Wi-Fi Alliance). It encodes the network name (SSID), security type (WPA / WPA2 / WPA3 / WEP / nopass for open), the password, and a hidden-network flag. WPA2-Enterprise networks also carry an EAP method, an identity, an anonymous identity, and a phase-2 method.

Is it safe to scan a Wi-Fi QR at a café or hotel?

Usually, but verify two things: (1) the network name (SSID) matches what the venue advertises, and (2) the security type is WPA2 or WPA3, not WEP (broken) or 'nopass' (open). A fake QR can advertise a network name like 'Starbucks-WiFi-Free' that looks plausible but routes you to an attacker's hotspot.

What's the 'evil twin' attack?

An attacker sets up a Wi-Fi hotspot with a name that matches or closely mimics the legitimate venue's network. They print or sticker a QR code containing that SSID. Customers scan, connect, and route their traffic through the attacker. Common in airports, hotels, and conference centres. Our scanner flags lookalike SSIDs against a list of known high-value targets (Starbucks, McDonald's, airport-free-wifi patterns, hotel chain names).

Are open Wi-Fi QRs (no password) dangerous?

Open networks aren't dangerous to join, your phone uses HTTPS to encrypt traffic anyway, but they ARE highly impersonable. Anyone with a Wi-Fi router and 10 minutes can stand up a fake 'Coffee Shop Free WiFi' next to a real coffee shop. If you must use open Wi-Fi, double-check that the SSID matches what the venue posts, and consider a VPN. Or just use your mobile data, modern plans usually have it.

Стандарты · QR с Wi-Fi учётными данными

Безопасно ли сканировать этот Wi-Fi QR-код?

Wi-Fi QR подключает ваш телефон к сети, имя которой указано в коде — и всё. Опасность не в формате QR (он безопасен): она в том, к какой сети подключает вас код.

Проверить Wi-Fi QR → Все стандарты →

Что за формат

Стандарт — схема URI WIFI:, изначально введённая проектом ZXing и принятая Wi-Fi Alliance для QR-кодов с учётными данными.

WIFI:T:WPA2;S:CafeWiFi;P:hunter2;H:false;;

Поля — это пары ключ-значение, разделённые точками с запятой. Каждое современное приложение камеры смартфона распознаёт этот формат и предлагает подключение без ввода пароля.

Для WPA2-Enterprise (корпоративный или кампусный Wi-Fi) формат расширяется тремя полями: метод EAP (PEAP / TLS / TTLS), идентификатор и фаза 2.

Поля по одному

T, тип защиты

WPA, WPA2, WPA3, WEP или nopass (открытая сеть). WEP взломан, современные телефоны могут отказать в подключении. nopass означает, что сеть открытая, без шифрования на канальном уровне.

S, SSID (имя сети)

Имя сети, которое телефон отображает после подключения. Самое важное поле для проверки. Сравните с тем, что указывает заведение.

P, пароль

Общий ключ для сетей класса WPA. Отсутствует для nopass.

H, скрытая сеть

true, если сеть не транслирует свой SSID. Скрытые сети нужно искать вручную; это не делает их изначально более безопасными.

E, метод EAP (Enterprise)

Для WPA2/3-Enterprise сетей: PEAP, TLS, TTLS, PWD. Определяет, как ваш телефон аутентифицируется на сервере RADIUS.

I, идентификатор (Enterprise)

Ваше имя пользователя в Enterprise-сети. Некоторые заведения кодируют гостевой идентификатор; корпоративные сети ожидают ваш реальный логин.

A, анонимный идентификатор (Enterprise)

Внешний идентификатор, видимый при EAP-рукопожатии. Используется для конфиденциальности — реальный идентификатор зашифрован внутри туннеля.

PH2, метод фазы 2 (Enterprise)

Для TTLS / PEAP: метод аутентификации внутри туннеля, обычно MSCHAPV2.

Атака-двойник (Evil Twin)

Схема атаки:

Злоумышленник устанавливает Wi-Fi роутер (или телефон в режиме точки доступа) рядом с целевым заведением: кофейней, выходом в аэропорту, лобби отеля.
Они настраивают SSID так, чтобы он совпадал с сетью заведения или имитировал её: Starbucks_WiFi_2, FREE_AIRPORT_WIFI, HotelGuests_5G.
Он печатает QR для этой поддельной сети и размещает его в правдоподобном месте: под краем стола, рядом с розеткой, на столбе объявлений.
Вы сканируете — телефон подключается к его точке доступа. Злоумышленник проксирует ваш трафик в реальный интернет, чтобы ничто не казалось сломанным.

Современные приложения используют HTTPS, поэтому учётные данные и контент зашифрованы. Но:

SNI раскрывает, какие сайты вы посещаете (при зашифрованном ClientHello — нет, но мало кто его соблюдает).
DNS через сеть злоумышленника раскрывает ваши запросы, если вы не используете DoH / DoT.
Приложения, которые переключаются на HTTP по любой причине (устаревшие API, баги привязки сертификатов, зонды captive-portal), утекают данные.
Злоумышленник может показывать поддельные страницы captive-portal с запросом учётных данных, которые вы обычно вводите в другом месте.

Наш сканер помечает SSID, похожие на высокоимитируемые цели — известные бренды с омоглифами — как подозрительные.

Что показывает наш сканер

Загрузите Wi-Fi QR (изображение, вставка или камера) в наш сканер. Вердикт показывает:

Сеть (SSID) — прочитайте внимательно и сравните с тем, что указывает заведение.
Тип защиты — WPA2 / WPA3 / WEP / Open. Открытые сети и WEP получают предупреждение.
Пароль — раскрывается нажатием (конфиденциальное поле). Удобно для добавления в менеджер паролей.
Флаг скрытой сети — Да / Нет.
Метод EAP + идентификатор + фаза 2 — для Enterprise-сетей, показывается для проверки соответствия метода аутентификации.
Встроенные URL в SSID или пароле — некоторые злоумышленники вставляют фишинговые URL в поле пароля; мы их отмечаем.

Сканер работает в вашем браузере; до нашего сервера доходит только декодированный текст для проверки безопасности — не изображение.

Перед тем как нажать «Подключиться»

Совпадает ли SSID точно с тем, что указывает заведение? Похожие имена (лишние символы, замена букв, «Starbucks_WiFi_2» вместо «Starbucks WiFi») — классический признак атаки-двойника.
Используется ли WPA2 или WPA3? Открытые сети и WEP не являются изначально опасными, но они поддаются имитации без знания пароля.
Если это Enterprise-сеть — сообщил ли IT-отдел об ожидаемом методе EAP и идентификаторе?
Вы всё равно используете мобильный интернет? Если да, возможно, лучше так и остаться. Современные мобильные тарифы обычно превосходят публичный Wi-Fi по скорости.
Регулярно ли меняется пароль в заведении? Многие кафе пишут пароль на доске; старая QR-наклейка может вести к устаревшей конфигурации.

Связанные материалы

Проверить Wi-Fi QR

Загрузите QR-изображение, вставьте строку WIFI: или воспользуйтесь камерой. Вердикт показывает имя сети, тип защиты, скрытый пароль (раскрывается нажатием) и предупреждения.

Открыть сканер →