а, или поспуфать в смысле сделать QR-код, ведущий на фейковый сайт, выглядящий как настоящий? интересно, да, но в теории можно научить персонал распознавать такое
вот только клепать такие сайты догадается и сможет мало кто, на эпидемиологическую ситуацию это повлияет мало, а любая сколь угодно массовая такая история, про которую станет известно, решается надзором с его реестром
а ещё на телефонах проверяющих может быть специальный софт, который регистрирует на себя обработку ссылок на некоторые домены, и если QR-код открывается не через этот софт, а через браузер — человек должен настораживаться