Skanowanie kodów QR pozwala w wygodny sposób uzyskać dostęp do potrzebnych informacji. Niestety, w ostatnim czasie pojawia się coraz więcej kodów QR spreparowanych przez oszustów i wykorzystywanych do phishingu, czyli tzw. quishing.
Kody QR występują niemal wszędzie: w restauracjach, kinach, środkach komunikacji publicznej, toaletach. Bardzo często przesyła się je za pośrednictwem SMS-ów lub e-maili. Według Insider Intelligence w 2023 roku w samych tylko Stanach Zjednoczonych ponad 94 miliony konsumentów używało swoje smartfony do skanowania kodów QR, zaś w 2027 roku liczba ta przekroczy 100 milionów.
Rosnąca popularność kodów QR nie umyka uwadze cyberprzestępców. Co gorsza, ludzie skanują kody bez większego zastanowienia. Tymczasem eksperci od bezpieczeństwa ostrzegają, że w przestrzeni publicznej pojawia się mnóstwo kodów QR wytwarzanych przez oszustów. To niebezpieczne zjawisko nazywa się quishingiem.
Quishing – łamie zaufanie do QR kodów
– Cyberprzestępcy umieszczają kody QR w e-mailach lub SMS-ach, zachęcając odbiorców do zeskanowania kodu i odwiedzania fałszywej witryny, sprawiającej wrażenie zaufanej usługi lub aplikacji. Jest to nowa, wyjątkowo niebezpieczna odmiana phishingu, bowiem na ogół ludzie mają stosunkowo duże zaufanie do kodów QR, nie zdając sobie sprawy z czyhających na nich zagrożeń. – tłumaczy Michał Łabęcki, Marketing Manager w G DATA Software.
Utworzenie własnego kodu QR nie jest wiele trudniejsze, aniżeli jego zeskanowanie. Cyberprzestępca wygeneruje go w zaledwie kilka minut. Poza tym taki kod oprócz tego, że dołącza się do wiadomości, można przykleić w dowolnym miejscu na ścianie. W połowie ubiegłego roku media światowe media informowały o zmasowanej kampanii, realizowanej za pomocą quishingu.
Celem akcji była kradzież danych uwierzytelniających konta Microsoftu. Napastnicy wzięli na cel duże firmy energetyczne, instytucje finansowe, producentów, a także dostawców nowych technologii. Ale znane są też przypadki, kiedy quishing posłużył do zwykłych oszustw finansowych. Oszuści wysyłają kody QR służące do jednorazowego dostępu do systemu wpłat na konto bankowe. W ten sposób poluje się są osoby sprzedające produkty na portalach ogłoszeniowych. W praktyce sprzedawca nie otrzymuje zapłaty, a z jego z konta wyparowuje kilka tysięcy złotych. Zresztą napastnicy wykazują się w tym zakresie coraz większą pomysłowością. W Stanach Zjednoczonych pojawiły się doniesienia o oszustach umieszczających kody QR quishingu na parkometrach.
Cyberprzestępcy wykorzystują quishing z dwóch powodów. Po pierwsze odbiorcy nie potrafią ocenić ich wiarygodności, zaś po drugie, filtry spamowe często miewają trudności z przechwytywaniem obrazów QR dołączanych do wiadomości w postaci pliku PDF. Natomiast wadą tego wektora ataku z punktu widzenia napastnika, jest konieczność podjęcia czynności przez potencjalną ofiarę. Jeśli nie podejmie żądanych działań, atak zostanie powstrzymany.
Co istotne, cyberprzestępcy bardzo chętnie biorą na cel użytkowników smartfonów. Wynika to faktu, iż większość komputerów posiada lepszą lub gorszą ochronę przed phishingiem. Inaczej wygląda to w przypadku telefonów, bardziej podatnych na ataki niż laptopy czy desktopy. Ważnym czynnikiem jest poczucie pilności, jakie oszust tworzy w wiadomości, aby skłonić jej odbiorcę do jak najszybszego zeskanowania kodu QR i bezmyślnego wprowadzenia danych osobowych tak szybko, jak to tylko możliwe. Użytkownicy smartfonów zwykle reagują bardziej impulsywnie na przychodzące wiadomości niż osoby używające komputerów.
Jak nie dać się złowić na Quishing?
Co zrobić, aby nie nabrać się na quishing? Najlepiej ich nie skanować. Niemniej jeśli ktoś zamierza iść z duchem czasu i czerpać garściami z technologicznych nowinek, powinien ze szczególną ostrożnością podchodzić do wiadomości pochodzących z nieznanych źródeł, bądź naklejek umieszczonych w dziwnych miejscach.
Poza tym oszuści najczęściej sugerują pilne działanie: zeskanuj ten kod QR, aby zweryfikować swoją tożsamość lub zapobiec usunięciu konta, bądź skorzystaj z oferty ważnej do końca miesiąca itp. Jeśli nie ma 100 procent pewności co do źródła kodu QR, nie powinno się go skanować telefonem.
Należy sprawdzać łącza i zwracać uwagę na takie kwestie jak rozpoznanie adresu URL, błędy ortograficzne lub zamienione litery.
Niezależnie od tego, czy używa się laptopa czy smartfona, trzeba aktualizować oprogramowanie. Najnowsze wersje popularnych mobilnych przeglądarek internetowych mają wbudowaną technologię wykrywania fałszywych linków.
– Te zintegrowane zabezpieczenia nie są do końca niezawodne, ale im bardziej aktualna przeglądarka i system operacyjny, tym większe szanse, że użytkownik otrzyma ostrzeżenie na ekranie o zagrożeniu. Warto też instalować, zarówno na komputerach, jak i smartfonach, komercyjne oprogramowanie antywirusowe, które lepiej chroni użytkownika przed phishingiem aniżeli zabezpieczenia stosowane w przeglądarkach – wyjaśnia Michał Łabęcki.
Niezależnie od używanego urządzenia, warto zachować zdrowy rozsądek, bowiem w niektórych przypadkach ryzyko jest prawie żadne ze względu na małą liczbę potencjalnych ofiar, a tym samym niewielki zarobek dla oszustów. Na przykład istnieje nikłe prawdopodobieństwo, że menu z kodem QR w małej, lokalnej restauracji zostało wygenerowane przez hakerów od quishingu.
Zobacz także: Wynajem sprzętu IT Wynajem komputerów Wypożyczenie laptopa
Autor/Redaktor publikacji
