Что такое Quishing? Как работает фишинг с QR-кодами и как оставаться в безопасности

Коды быстрого реагирования (QR) достигли всеобщего распространения в современной физической среде. От наклеек для оплаты парковки и настольных меню в ресторанах до посадочных талонов авиакомпаний, браслетов на концертах и экранов настройки двухфакторной аутентификации — оптические штрихкоды стали основным мостом между физической реальностью и цифровыми действиями. Современные операционные системы смартфонов встроили декодеры сканеров камеры прямо в стандартные приложения камеры, делая сканирование таким же естественным и рефлексивным, как и касание сенсорного экрана.

Однако быстрое внедрение технологии QR-кодов привело к появлению серьезной уязвимости в кибербезопасности, известной как «куишинг» (фишинг с использованием QR-кодов). Киберпреступники и специалисты по социальной инженерии поняли, что хотя корпоративные почтовые шлюзы и браузерные фильтры стали хорошо обнаруживать традиционные фишинговые ссылки в электронной почте, люди не могут визуально расшифровать двухмерное пиксельное расположение QR-кода. Когда ничего не подозревающий пользователь сканирует код в общественном месте, он по сути остается слеп для URL назначения до тех пор, пока устройство не обработает перенаправление.

Для специалистов по кибербезопасности, корпоративных брендов и обычных пользователей смартфонов понимание механики квишинга крайне важно. Изучая векторы атак, применяя физические средства с защитой от подделки и используя брендированные умные ссылки, организации могут защищать своих клиентов и сохранять физическую ценность бренда.

Анатомия атаки квишинга

По сути, quishing представляет собой эволюцию классического фишинга, адаптированную для мобильной эры. Вместо того чтобы пытаться обойти корпоративные фильтры электронной почты с помощью обманных гиперссылок, злоумышленники используют косвенное физическое доверие, которое потребители возлагают на свое непосредственное физическое окружение.

Стандартный операционный жизненный цикл физической атаки quishing:

Поскольку физический контекст кажется подлинным (муниципальный паркомат или столик в ресторане), жертвы снижают обычные цифровые меры предосторожности.

Почему мобильные смартфоны особенно уязвимы к quishing

Несколько технических и психологических факторов накапливаются в мобильных смартфонах, делая атаки quishing крайне эффективными по сравнению с традиционным просмотром на десктопе.

Основные мобильные уязвимости, используемые злоумышленниками quishing:

• Предварительный просмотр скрытой визуальной цели: Человеческий глаз не может прочитать QR-код. В отличие от текстовых ссылок, где подозрительные написания можно оценить заранее, назначения QR-кодов остаются скрытыми до их декодирования.
• Обрезанные адресные строки мобильных URL: Мобильные браузеры имеют ограниченное горизонтальное пространство экрана. Злоумышленники используют длинные поддомены, которые сдвигают настоящий вредоносный домен за пределы экрана, где пользователи его не видят.
• Экологическое отвлечение и срочность: QR-коды обычно сканируются на ходу — в переполненных паркингах, оживленных железнодорожных станциях или людных кафе — где пользователи отвлечены и спешат.
• Обход корпоративных защит периметра электронной почты: Злоумышленники, отправляющие PDF-счета с QR-кодами, обходят корпоративные сканеры ссылок электронной почты, которые не могут оценивать встроенные штрихкоды изображений.

Эти сложные мобильные ограничения позволяют обманным целевым страницам обманывать даже технологически грамотных специалистов.

Распространённые физические и цифровые векторы фишинга

Отчеты разведки угроз показывают, что операторы quishing осуществляют атаки как через физическую инфраструктуру, так и через цифровые каналы документов.

Распространенные векторы атак типа quishing, наблюдаемые в различных отраслях:

1. Наклейки для общественных парковочных автоматов:
   Мошенники печатают высококачественные наклейки, имитирующие муниципальных операторов платежей, и наклеивают их прямо поверх оригинальных штрих-кодов оплаты на уличных парковочных автоматах.
2. Замена меню на столе в сфере гостеприимства:
   В загруженных уличных кафе преступники наклеивают обманные QR-наклейки поверх настоящих стоек с меню, перенаправляя посетителей на страницы для кражи учетных данных.
3. Корпоративные фишинговые письма с двухфакторной аутентификацией (2FA):
   Фишинговые письма, маскирующиеся под уведомления службы IT-безопасности, побуждают сотрудников «Сканировать этот QR-код с помощью мобильного аутентификатора для обновления протоколов безопасности», похищая учетные данные для входа.
4. Мошенничество с пожертвованиями на благотворительность и фондами помощи:
   Во время гуманитарных кризисов мошенники размещают поддельные QR-коды для пожертвований на уличных флаерах и на досках объявлений, чтобы присвоить средства помощи.

Признание этих оперативных векторов позволяет командам по безопасности развертывать целенаправленные меры противодействия на своих физических и цифровых ресурсах.

Как организации могут защищать свои физические QR-коды

Предприятия и муниципальные операторы, использующие QR-коды для сбора платежей или предоставления услуг клиентам, должны внедрять строгие протоколы операционной безопасности для защиты физической рекламы.

Лучшие практики защиты при развертывании физических QR:

• Размещайте субстраты, защищённые от вмешательства: Используйте металлические пластины с лазерной гравировкой, подповерхностную печать на акрилаке или винил с защитой от вмешательства, который рвётся при попытке отклеивания.
• Используйте фирменные поддомены на плане Max: Убедитесь, что URL-адреса назначения отображают ваше проверенное название организации (например, pay.cityparking.dslink.me), а не общие, сбивающие с толку короткие домены.
• Проводите регулярные физические проверки объекта: Обучите сотрудников объекта и парковочных работников ежедневно проверять физические знаки на наличие подозрительных наклеек или отслоившихся краев.
• Проверяйте маршруты перенаправления ссылок с помощью диагностических инструментов: Регулярно проверяйте целевые URL с помощью нашего Проверяльщика ссылок, чтобы убедиться, что маршруты перенаправления остаются чистыми и защищёнными SSL.

Изучите наш генератор QR-кодов, чтобы узнать, как динамические векторные коды могут безопасно использоваться на физических активах предприятия.

Кроме того, команды корпоративной информационной безопасности все чаще включают модули физической безопасности QR-кодов в программы внутреннего обучения сотрудников. Обучение персонала проверке физических штрихкодов в публичных местах и сообщению о подозрительных наклейках значительно снижает риски кражи корпоративных учетных данных в гибридных и удаленных командах.

Поддержание бдительности в вопросах безопасности и использование проверенной брендированной переадресации обеспечивает потребителям полную уверенность и безопасность при сканировании физических штрихкодов.

Инвестируя в физическое оборудование с защитой от вмешательства и проверенную цифровую маршрутизацию, компании сохраняют целостность физических вывесок и защищают отношения с клиентами.

Руководство пользователя по безопасному сканированию QR-кодов в общественных местах

Каждый отдельный пользователь смартфона может защитить себя от кууишинга, придерживаясь дисциплинированных, проактивных привычек сканирования в общественных местах.

Основные рекомендации по личной безопасности при публичном сканировании:

1. Проверьте физические вывески на наличие наклеек:
   Прежде чем сканировать, проведите пальцем по QR-коду. Если вы ощущаете наклейку, возвышающуюся над основной металлической или акриловой поверхностью, не сканируйте её.
2. Тщательно проверьте предварительный просмотр расшифрованного URL в вашей камере:
   Современные приложения камеры отображают всплывающее окно предварительного просмотра целевого URL. Убедитесь, что написание домена точно совпадает с законным поставщиком услуг, прежде чем нажимать.
3. Никогда не вводите чувствительные пароли после сканирования публичных кодов:
   Легальные ресторанные меню и паркоматы редко требуют введения паролей от банковских счетов или полных идентификаторов социального страхования.
4. Используйте специализированные официальные мобильные приложения, когда они доступны:
   Для оплаты парковки и проездных билетов открывайте официальное муниципальное приложение прямо с вашего главного экрана, а не сканируйте случайные уличные наклейки.

Объединяя физическую бдительность с интеллектуальной проверкой ссылок, как организации, так и потребители могут наслаждаться значительным удобством технологии QR, нейтрализуя при этом угрозы quishing.

Часто задаваемые вопросы