Що таке Quishing? Як працює фішинг через QR-коди і як залишатися в безпеці

Коди швидкого реагування (QR) досягли універсальної повсюдності в сучасному фізичному суспільстві. Оптичні штрих-коди стали головним мостом між фізичною реальністю та цифровими діями: від платіжних наклейок на паркоматах і настільних меню ресторанів до посадкових талонів авіакомпаній, концертних браслетів і екранів налаштування двофакторної автентифікації. Сучасні операційні системи смартфонів мають вбудовані декодери сканера камери безпосередньо в програми камери за замовчуванням, що робить сканування таким же природним і рефлексивним, як торкання сенсорного екрана.

Однак швидке впровадження технології QR спричинило серйозну вразливість кібербезпеки, відому як «квішинг» (фішинг QR-коду). Кіберзлочинці та соціальні інженери визнали, що хоча корпоративні шлюзи електронної пошти та фільтри браузерів навчилися виявляти традиційні фішингові посилання електронної пошти, люди не можуть візуально декодувати двовимірне розміщення пікселів QR-коду. Коли нічого не підозрюючи користувач сканує код у публічному середовищі, він за своєю суттю не бачить цільової URL-адреси, доки телефон не обробить перенаправлення.

Для фахівців з кібербезпеки, корпоративних брендів і звичайних користувачів смартфонів розуміння механізму квишинга є важливим. Вивчаючи вектори атак, розгортаючи засоби фізичного контролю, які захищені від несанкціонованого доступу, і використовуючи фірмові інтелектуальні посилання, організації можуть захистити своїх клієнтів і захистити фізичний капітал бренду.

Анатомія квішинг-атаки

За своєю суттю, квішинг являє собою еволюцію класичного фішингу, адаптованого для мобільної ери. Замість того, щоб намагатися уникнути корпоративних фільтрів безпеки електронної пошти за допомогою оманливих гіперпосилань, зловмисники використовують неявну фізичну довіру споживачів до свого безпосереднього фізичного оточення.

Стандартний життєвий цикл фізичної атаки:

Оскільки фізичний контекст виглядає автентичним (муніципальний паркувальний автомат або ресторанний стіл), жертви знижують свої звичні цифрові захисти.

Чому мобільні смартфони унікально вразливі до квішингу

Кілька технічних і психологічних факторів збігаються на мобільних смартфонах, роблячи атаки квішинг надзвичайно ефективними порівняно з традиційним переглядом на десктопі.

Ключові мобільні вразливості, які експлуатують атакуючі квішингом:

• Прихований візуальний попередній перегляд: людське око не може прочитати QR-код. На відміну від текстових посилань, де підозріле написання можна оцінити заздалегідь, QR-адреси залишаються прихованими, доки не будуть розшифровані.
• Скорочені адресні рядки мобільних URL-адрес: мобільні веб-переглядачі мають обмежений горизонтальний простір на екрані. Зловмисники використовують довгі субдомени, які витісняють справжній шкідливий домен за межі екрана, де користувачі його не бачать.
• Відволікання навколишнього середовища та терміновість: QR-коди зазвичай скануються під час руху — на жвавих паркувальних спорудах, гамірних вокзалах або в людних кафе — де користувачі відволікаються та поспішають.
• Обхід засобів захисту периметра корпоративної електронної пошти: зловмисники, які надсилають рахунки у форматі PDF із QR-кодами, уникають сканерів посилань на корпоративну електронну пошту, які не можуть оцінити вбудовані штрих-коди зображень.

Ці складні мобільні обмеження дозволяють оманливим цільовим сторінкам вводити в оману навіть технічно грамотних професіоналів.

Загальні фізичні та цифрові вектори кішингу

Звіти аналізу загроз показують, що оператори квишингу розгортають атаки як на фізичній інфраструктурі, так і на каналах цифрових документів.

Поширені вектори атак quishing, які спостерігаються в різних галузях:

1. Накладки наклейок на автомати для паркування:
   Шахраї друкують високоякісні наклейки, що імітують муніципальних платіжних операторів, і наклеюють їх безпосередньо на справжні платіжні штрих-коди на вуличних паркоматах.
2. Заміна меню гостинного столу:
   У жвавих відкритих кафе злочинці розміщують оманливі QR-наклейки на справжніх стендах з меню, спрямовуючи відвідувачів на сторінки збору облікових даних.
3. Електронні листи з корпоративною двофакторною автентифікацією (2FA):
   Фішингові електронні листи, що маскуються під сповіщення про ІТ-безпеку, спонукають працівників «Відскануйте цей QR-код за допомогою мобільного автентифікатора, щоб оновити протоколи безпеки», викрадаючи облікові дані для входу.
4. Шахрайство з благодійними пожертвуваннями та фондами допомоги:
   Під час гуманітарних криз шахраї розміщують підроблені QR-коди пожертв на вуличних рекламних листівках і дошках оголошень, щоб перевести кошти допомоги.

Розпізнавання цих операційних векторів дозволяє групам безпеки застосовувати цілеспрямовані контрзаходи на своїх фізичних і цифрових активах.

Як організації можуть захистити свої фізичні QR-коди

Підприємства та муніципальні оператори, які використовують QR-коди для збору платежів або надання послуг клієнтам, повинні застосовувати суворі протоколи операційної безпеки для захисту фізичних вивісок.

Найкращі методи захисту для фізичного розгортання QR:

• Використовуйте захищені від несанкціонованого доступу підкладки: використовуйте металеві таблички з лазерним гравіюванням, акриловий друк під поверхнею або захищений від несанкціонованого доступу вініл, який розривається під час спроби відклеїтися.
• Використовуйте фірмові субдомени в плані Max: переконайтеся, що цільові URL-адреси відображають підтверджену назву вашої організації (наприклад, pay.cityparking.dslink.me), а не загальні, заплутані короткі домени.
• Проводьте регулярні фізичні перевірки об’єктів: навчіть персонал закладу та паркувальників щодня перевіряти фізичні вивіски на наявність підозрілих наклейок або відшарованих країв.
• Аудит шляхів маршрутизації посилань за допомогою інструментів діагностики: регулярно перевіряйте цільові URL-адреси за допомогою нашого перевірки посилань, щоб підтвердити, що маршрути переспрямування залишаються незайманими та захищеними SSL.

Ознайомтеся з нашим генератором QR-кодів, щоб дізнатися, як динамічні векторні коди можна безпечно розгортати на фізичних ресурсах підприємства.

Крім того, команди корпоративної інформаційної безпеки все частіше включають модулі безпеки фізичних QR-кодів у внутрішні програми навчання співробітників. Навчання персоналу перевіряти фізичні штрих-коди в громадських місцях і повідомляти про підозрілі накладки наклейок значно знижує ризики збору корпоративних облікових даних серед гібридних і віддалених працівників.

Підтримка безпеки та використання перевіреної фірмової переадресації гарантує, що споживачі сканують фізичні штрих-коди з повною впевненістю та безпекою.

Вкладаючи кошти у фізичне обладнання з захистом від несанкціонованого доступу та перевірену цифрову маршрутизацію, підприємства зберігають фізичну цілісність вивісок і захищають відносини з клієнтами.

Інструкції користувача щодо безпечного сканування QR-кодів у громадських місцях

Кожен окремий користувач смартфона може захистити себе від квишинга, застосувавши дисципліновані звички проактивного сканування в громадських місцях.

Основні правила особистої безпеки під час публічного сканування:

1. Перевірте фізичні вивіски на наявність наклейок:
   Перед скануванням проведіть пальцем по QR-коду. Якщо ви відчуваєте, що наклейка піднімається над металевою або акриловою поверхнею, не скануйте її.
2. Уважно перегляньте попередній перегляд декодованої URL-адреси на камері:
   Сучасні програми камери відображають спливаючу підказку попереднього перегляду цільової URL-адреси. Перш ніж натискати, переконайтеся, що написання домену точно відповідає законному постачальнику послуг.
3. Ніколи не вводьте конфіденційні паролі після сканування публічних кодів:
   Законні ресторанні меню та паркомати рідко вимагають введення паролів банківських рахунків або повних ідентифікаторів соціального страхування.
4. Використовуйте спеціальні офіційні програми для мобільних пристроїв, якщо вони доступні:
   Щоб оплатити паркування та проїзні квитки, відкрийте офіційну муніципальну програму прямо на головному екрані, а не скануйте спеціальні вуличні наклейки.

Поєднуючи фізичну пильність з інтелектуальною перевіркою зв’язку, як організації, так і споживачі можуть насолоджуватися надзвичайною зручністю QR-технології, нейтралізуючи загрози аварії.

Часті запитання