Quishing, czyli kod pułapka

Skanowanie kodów QR pozwala w wygodny sposób uzyskać dostęp do potrzebnych informacji. Niestety, w ostatnim czasie pojawia się coraz częściej kodów QR spreparowanych przez oszustów i wykorzystywanych do phishingu.

Kody QR występują niemal wszędzie: w restauracjach, kinach, środkach komunikacji publicznej, toaletach. Bardzo często przesyła się je za pośrednictwem SMS-ów lub e-maili. Według Insider Intelligence w 2023 roku w samych tylko Stanach Zjednoczonych ponad 94 miliony konsumentów używało swoje smartfony do skanowania kodów QR, zaś w 2027 roku liczba ta przekroczy 100 milionów.

Rosnąca popularność kodów QR nie umyka uwadze cyberprzestępców. Co gorsza, ludzie skanują kody bez większego zastanowienia. Tymczasem eksperci od bezpieczeństwa ostrzegają, że w przestrzeni publicznej pojawia się mnóstwo kodów QR wytwarzanych przez oszustów. To niebezpieczne zjawisko nazywa się quishingiem.

– Cyberprzestępcy umieszczają kody QR w e-mailach lub SMS-ach, zachęcając odbiorców do zeskanowania kodu i odwiedzania fałszywej witryny, sprawiającej wrażenie zaufanej usługi lub aplikacji. Jest to nowa, wyjątkowo niebezpieczna odmiana phishingu, bowiem na ogół ludzie mają stosunkowo duże zaufanie do kodów QR, nie zdając sobie sprawy z czyhających na nich zagrożeń – tłumaczy Michał Łabęcki, Marketing Manager w G DATA Software.

Utworzenie własnego kodu QR nie jest wiele trudniejsze, aniżeli jego zeskanowanie. Cyberprzestępca wygeneruje go w zaledwie kilka minut. Poza tym taki kod oprócz tego, że dołącza się do wiadomości, można przykleić w dowolnym miejscu na ścianie. W połowie ubiegłego roku media światowe media informowały o zmasowanej kampanii phishingowej, realizowanej za pomocą złośliwych kodów QR. Celem akcji była kradzież danych uwierzytelniających konta Microsoftu. Napastnicy wzięli na cel duże firmy energetyczne, instytucje finansowe, producentów, a także dostawców nowych technologii. Ale znane są też przypadki, kiedy kod QR posłużył do zwykłych oszustw finansowych. Oszuści wysyłają kody QR służące do jednorazowego dostępu do systemu wpłat na konto bankowe. W ten sposób poluje się są osoby sprzedające produkty na portalach ogłoszeniowych. W praktyce sprzedawca nie otrzymuje zapłaty, a z jego z konta wyparowuje kilka tysięcy złotych. Zresztą napastnicy wykazują się w tym zakresie coraz większą pomysłowością. W Stanach Zjednoczonych pojawiły się doniesienia o oszustach umieszczających kody QR na parkometrach.

Cyberprzestępcy wykorzystują kody QR z dwóch powodów. Po pierwsze odbiorcy nie potrafią ocenić ich wiarygodności, zaś po drugie, filtry spamowe często miewają trudności z przechwytywaniem obrazów QR dołączanych do wiadomości w postaci pliku PDF. Natomiast wadą tego wektora ataku z punktu widzenia napastnika, jest konieczność podjęcia czynności przez potencjalną ofiarę. Jeśli nie podejmie żądanych działań, atak zostanie powstrzymany.

Co istotne, cyberprzestępcy bardzo chętnie biorą na cel użytkowników smartfonów. Wynika to faktu, iż większość komputerów posiada lepszą lub gorszą ochronę przed phishingiem. Inaczej wygląda to w przypadku telefonów, bardziej podatnych na ataki niż laptopy czy desktopy. Ważnym czynnikiem jest poczucie pilności, jakie oszust tworzy w wiadomości, aby skłonić jej odbiorcę do jak najszybszego zeskanowania kodu QR i bezmyślnego wprowadzenia danych osobowych tak szybko, jak to tylko możliwe. Użytkownicy smartfonów zwykle reagują bardziej impulsywnie na przychodzące wiadomości niż osoby używające komputerów.

Jak nie dać się złowić na kod QR?

Co zrobić, aby nie nabrać się fałszywy kod QR? Najlepiej ich nie skanować. Niemniej jeśli ktoś zamierza iść z duchem czasu i czerpać garściami z technologicznych nowinek, powinien ze szczególną ostrożnością podchodzić do wiadomości pochodzących z nieznanych źródeł, bądź naklejek umieszczonych w dziwnych miejscach. Poza tym oszuści najczęściej sugerują pilne działanie: zeskanuj ten kod QR, aby zweryfikować swoją tożsamość lub zapobiec usunięciu konta, bądź skorzystaj z oferty ważnej do końca miesiąca itp. Jeśli nie ma 100 procent pewności co do źródła kodu QR, nie powinno się go skanować telefonem. Należy sprawdzać łącza i zwracać uwagę na takie kwestie jak rozpoznanie adresu URL, błędy ortograficzne lub zamienione litery.

Niezależnie od tego, czy używa się laptopa czy smartfona, trzeba aktualizować oprogramowanie. Najnowsze wersje popularnych mobilnych przeglądarek internetowych mają wbudowaną technologię wykrywania fałszywych linków.

– Te zintegrowane zabezpieczenia nie są do końca niezawodne, ale im bardziej aktualna przeglądarka i system operacyjny, tym większe szanse, że użytkownik otrzyma ostrzeżenie na ekranie o zagrożeniu. Warto też instalować, zarówno na komputerach, jak i smartfonach, komercyjne oprogramowanie antywirusowe, które lepiej chroni użytkownika przed phishingiem aniżeli zabezpieczenia stosowane w przeglądarkach – wyjaśnia Michał Łabęcki.

Niezależnie od używanego urządzenia, warto zachować zdrowy rozsądek, bowiem w niektórych przypadkach ryzyko jest prawie żadne ze względu na małą liczbę potencjalnych ofiar, a tym samym niewielki zarobek dla oszustów. Na przykład istnieje nikłe prawdopodobieństwo, że menu z kodem QR w małej, lokalnej restauracji zostało wygenerowane przez hakerów.

Źródło: GDATA