QR кодовете са вид баркод, изобразяван в решетка с квадратна форма, който може да бъде прочетен от камера, обикновено такава на смартфон. Чрез QR кодовете могат да се съхраняват обикновен текст или връзки за изтегляне на приложение, да се извършва достъп до информация за продукт или меню, да се изпраща или получава плащане, да се влиза в безжична Wi-Fi мрежа, да се влиза в профил (например: профил в програма за лоялност) или да се поддържа закупуването на билети по телефона, като изброените са само част от начините им на употреба.

През 2022 г. 83,4 милиона потребители на смартфони в САЩ са сканирали QR код, като това число се очаква да достигне 99,5 милиона души през 2025 г. Това не е изненадващо, тъй като с нарастването на популярността им и привикването на потребителите към тях, QR кодовете се превръщат в най-новата „примамка” за фишинг атаки, чрез която злонамерени лица могат да се възползват от потребителите с измамни цели.

Фишинг атаките, извършвани чрез QR код, известни още като „куишинг” („quishing“), използват физически или цифрови QR кодове, за да примамят потребителите към посещение на фалшиви интернет страници, предназначени да откраднат чувствителна информация или да проникнат в устройството на потребителя и да го заразят със зловреден софтуер.

Подобно на другите видове фишинг, този вид атака използва доверието – а именно доверието в самия QR код, както и в търговската марка, свързана с него. Също така, много атаки разчитат на създаването на усещане за неотложност, свързано с предполагаема полза (например: състезание), или като следствие от непредприемането на действие (например: блокиран акаунт). През септември 2023 г. се наблюдава увеличение от 51% на куишинг атаките в сравнение с общото им число за периода от януари до август 2023 г. Освен това, злонамерените QR кодове представляват 9,5% от всички QR кодове, сканирани през септември 2023 г.

Фишинг атаката, извършвана чрез QR код, използва широко разпространена технология, предизвикваща „доверие”, при която измамниците поставят нови, зловредни QR кодове на физически места, които им придават надежден външен вид, или изпращат зловредни QR кодове като част от фишинг атака по имейл или чрез текстово съобщение. Нека да разгледаме някои примери:

1. Физически QR код
На вратата на банка има поставен QR код. При сканиране, QR кодът изисква от потребителя да влезе в банковата си сметка, за да участва в състезание с награда от 100 щатски долара, които автоматично ще бъдат депозирани в банковата му сметка. На външен вид интернет страницата изглежда брандирана с реквизитите на банката.

Този QR код обаче всъщност е измамен и всички въведени банкови данни вече могат да се използват за злонамерени цели.

2. Цифров QR код
Потребителят получава имейл от своя предпочитан търговец, който съдържа QR код, с който потребителят да се регистрира в нова програма за лоялни клиенти. Когато потребителят сканира кода на екрана на компютъра си, той получава подкана да въведе своите лични данни, включително име, адрес, потребителско име и парола.

По подобен начин като в предния случай, този имейл съдържа измамен QR код и представлява фишинг атака, която прилича на всички други форми на фишинг атаки, с единствената разлика, че използва нова технология. Откраднатите по този начин данни вече могат да се използват за достъп до интернет страницата на търговеца, както и до всяка информация, съхранявана в него, включително данни за кредитната карта на потребителя. Ако същата парола е регистрирана и за достъп до други интернет страници, което 39% от хората признават, че правят, то тя може да се използва и в други случаи на измама. Освен това личната информация може да бъде продадена на черния пазар, за да бъде използвана от други злонамерени лица при бъдещи фишинг атаки.

1. Прегледайте и проверете дали източникът е легитимен
Въпреки че самите QR кодове не могат да бъдат заменени с измамна цел по електронен път, много по-лесно да се залепи нов измамен стикер с QR код върху легитимен такъв. QR кодовете, които са поставени върху стикери, както и такива, които са необозначени или поставени на необичайни места, трябва да се третират с повишено внимание. Не трябва да се доверявате на QR кодове от непознат източник. QR кодовете, получени по имейл, трябва винаги да се разглеждат с особено и повишено внимание, с изключение на мобилните билети, които могат да се четат от трети страни (например: билети за концерти).

Винаги, когато имате съмнения, игнорирайте „лесния” начин за отговор на подканата за сканиране на QR кода и вместо това проверете дали той е легитимен, като се свържете директно с търговската марка чрез тяхната официална интернет страница, като се обадите на отдела им за обслужване на клиенти или като лично попитате техен служител.

2. Бъдете внимателни при споделянето на лична информация
Ефективното опазване на личната и финансова информация и доверяването на интернет страници може да бъде предизвикателство за много хора. В действителност, около 32% от хората не са уверени, че могат да забележат измамна или фалшива интернет страница на търговец на дребно.

Тъй като фишинг атаките стават все по-трудни за идентифициране и поради това, че те използват нови тактики за примамване като QR кодове, внимавайте с интернет страници, които изискват лична информация, информация за вход или финансови данни.

3. Внимавайте с методите за плащане
Въпреки че са удобни, не всички методи на плащане са еднакво защитени. Избягвайте подозрителни методи на плащане, като например PayPal, Venmo или e-Transfer и избягвайте дебитни карти, които не са защитени. Изберете кредитна карта със защита на потребителите за всякакви покупки. Никога не разкривайте банкова информация и не превеждайте средства по банков път в резултат на взаимодействие с QR код.

4. Активирайте силна и устойчива на фишинг атаки многофакторна автентификация (MFA) във вашите акаунти
Навсякъде, където това е възможно, разрешете на акаунтите да използват многофакторна автентификация (MFA), за да намалите шансовете на фишинг атаките за успех. Въпреки че всяка от формите на MFA е по-добра от използването на потребителско име и парола, не всички методи за MFA са еднакви. Потърсете MFA опция, устойчива на фишинг атаки, като например обвързани с устройството ключове/пароли за достъп – включително хардуерните ключове за сигурност като YubiKey – за да осигурите разширена защита на вашите онлайн акаунти. Ключовете за сигурност спират фишинг атаките, като изискват нещо, което знаете (парола) и нещо, с което разполагате (физически ключ за сигурност) и което да поставите в устройството и да го активирате физически, за да получите достъп до своите акаунти.

За интернет страници, които все още не поддържат методите, устойчиви на фишинг атаки, използвайте реномирана програма за управление на паролите, като например „1Password”, за да генерирате силни и уникални идентификационни данни за всяка интернет страница и за да улесните влизането в нея между различните устройства, които използвате.

Източник: Yubico