Quishing là gì? Cách Mã QR Phishing Hoạt Động và Cách Giữ An Toàn

Mã phản hồi nhanh (QR) đã đạt được sự phổ biến rộng rãi trên khắp xã hội vật lý hiện đại. Từ các nhãn dán thanh toán máy đỗ xe và thực đơn trên bàn nhà hàng đến thẻ lên máy bay, vòng đeo tay buổi hòa nhạc, và màn hình thiết lập xác thực hai yếu tố, mã vạch quang học đã trở thành cầu nối chính giữa thực tế vật lý và hành động kỹ thuật số. Hệ điều hành điện thoại thông minh hiện đại đã nhúng trình giải mã máy quét camera trực tiếp vào các ứng dụng camera mặc định, khiến việc quét trở nên tự nhiên và phản xạ giống như chạm vào màn hình cảm ứng.

Tuy nhiên, việc áp dụng công nghệ QR một cách nhanh chóng đã tạo ra một lỗ hổng bảo mật nghiêm trọng được gọi là "quishing" (lừa đảo qua mã QR). Tội phạm mạng và các kỹ sư xã hội đã nhận ra rằng trong khi các cổng email doanh nghiệp và bộ lọc trình duyệt đã trở nên thành thạo trong việc phát hiện các liên kết lừa đảo qua email truyền thống, con người không thể giải mã trực quan cấu trúc pixel hai chiều của mã QR. Khi một người dùng không nghi ngờ quét một mã tại môi trường công cộng, họ sẽ hoàn toàn không thấy được URL đích cho đến khi thiết bị xử lý việc chuyển hướng.

Đối với các chuyên gia an ninh mạng, các thương hiệu doanh nghiệp và người dùng điện thoại thông minh hàng ngày, việc hiểu cơ chế của quishing là điều cần thiết. Bằng cách xem xét các vectơ tấn công, triển khai các biện pháp kiểm soát vật lý có dấu hiệu giả mạo và sử dụng các liên kết thông minh có thương hiệu, các tổ chức có thể bảo vệ khách hàng của mình và bảo vệ giá trị thương hiệu vật lý.

Giải phẫu của một cuộc tấn công quishing

Về cơ bản, quishing đại diện cho một sự tiến hóa của phishing cổ điển được điều chỉnh cho thời đại di động. Thay vì cố gắng né tránh các bộ lọc bảo mật email của công ty bằng các siêu liên kết lừa đảo, các kẻ tấn công lợi dụng sự tin tưởng vật lý ngầm mà người tiêu dùng đặt vào môi trường vật lý xung quanh họ ngay lập tức.

Vòng đời hoạt động tiêu chuẩn của một cuộc tấn công quishing vật lý:

Bởi vì bối cảnh vật lý trông có vẻ xác thực (một đồng hồ đỗ xe của thành phố hoặc bàn nhà hàng), nạn nhân sẽ giảm các biện pháp phòng vệ kỹ thuật số thông thường của họ.

Tại sao điện thoại di động dễ bị tấn công quishing

Một số yếu tố kỹ thuật và tâm lý hội tụ trên điện thoại di động khiến các cuộc tấn công quishing trở nên đặc biệt hiệu quả so với việc duyệt web truyền thống trên máy tính để bàn.

Các lỗ hổng chính trên di động mà kẻ tấn công quishing khai thác:

• Xem trước điểm đến trực quan bị che khuất: Mắt người không thể đọc mã QR. Khác với các liên kết văn bản, nơi các cách viết nghi ngờ có thể được đánh giá trước, điểm đến của mã QR vẫn bị ẩn cho đến khi được giải mã.
• Thanh địa chỉ URL trên di động bị rút gọn: Trình duyệt di động có không gian màn hình ngang hạn chế. Kẻ tấn công tận dụng các tên miền phụ dài để đẩy tên miền độc hại thực sự ra ngoài màn hình, nơi người dùng không thể nhìn thấy.
• Môi trường gây phân tâm và tính khẩn trương: Mã QR thường được quét khi đang di chuyển—trong các bãi đậu xe đông đúc, nhà ga nhộn nhịp hoặc quán cà phê chật kín—nơi người dùng bị phân tâm và vội vàng.
• Những kẻ tấn công gửi hóa đơn PDF chứa mã QR để né tránh các bộ quét liên kết email doanh nghiệp không thể đánh giá mã vạch hình ảnh nhúng.

Những hạn chế di động kết hợp này cho phép các trang đích lừa đảo đánh lừa ngay cả những chuyên gia am hiểu công nghệ.

Các vectơ quishing vật lý và kỹ thuật số phổ biến

Các báo cáo tình báo về mối đe dọa tiết lộ rằng các kẻ điều hành quishing triển khai các cuộc tấn công cả trên cơ sở hạ tầng vật lý và các kênh tài liệu kỹ thuật số.

Các vector tấn công quishing phổ biến được quan sát trong các ngành:

1. Miếng dán trang trí đồng hồ đậu xe công cộng:
   Kẻ gian in các miếng dán chất lượng cao giả mạo nhà điều hành thanh toán của thành phố và dán trực tiếp lên mã vạch thanh toán thật trên các đồng hồ đậu xe đường phố.
2. Thay thế thực đơn bàn nhà hàng:
   Trong các quán cà phê ngoài trời đông đúc, tội phạm đặt những nhãn QR giả mạo lên các giá thực đơn chính hãng, dẫn khách hàng đến các trang web thu thập thông tin đăng nhập.
3. Xác thực hai yếu tố doanh nghiệp (2FA) thu hút email:
   Email lừa đảo giả dạng thông báo bảo mật CNTT yêu cầu nhân viên "Quét mã QR này bằng thiết bị xác thực di động để cập nhật giao thức bảo mật", đánh cắp thông tin đăng nhập.
4. Lừa đảo quyên góp từ thiện và quỹ cứu trợ:
   Trong các cuộc khủng hoảng nhân đạo, kẻ lừa đảo đặt mã QR quyên góp giả trên tờ rơi đường phố và bảng tin cộng đồng để chiếm đoạt quỹ cứu trợ.

Nhận diện các vectơ hoạt động này cho phép các đội ngũ an ninh triển khai các biện pháp đối phó có mục tiêu trên các tài sản vật lý và kỹ thuật số của họ.

Các tổ chức có thể bảo vệ mã QR vật lý của họ như thế nào

Các doanh nghiệp và nhà điều hành đô thị sử dụng mã QR để thu tiền hoặc cung cấp dịch vụ khách hàng phải thực hiện các quy trình bảo mật vận hành nghiêm ngặt để bảo vệ biển hiệu vật lý.

Các phương pháp phòng ngừa tốt nhất cho việc triển khai QR vật lý:

• Triển khai các nền tảng chống giả mạo: Sử dụng bảng kim loại khắc laser, in acrylic dưới bề mặt, hoặc vinyl chống giả mạo sẽ rách khi cố gắng bóc ra.
• Sử dụng các tên miền phụ có thương hiệu trên gói Max: Đảm bảo URL đích hiển thị tên tổ chức đã được xác minh của bạn (ví dụ: pay.cityparking.dslink.me) thay vì các tên miền ngắn chung chung, gây nhầm lẫn.
• Thực hiện kiểm tra hiện trường định kỳ: Đào tạo nhân viên cơ sở và nhân viên bãi đậu xe kiểm tra các biển báo vật lý hàng ngày để phát hiện các nhãn dán đáng ngờ hoặc mép bị bong tróc.
• Kiểm tra các đường dẫn chuyển hướng liên kết bằng công cụ chẩn đoán: Thường xuyên quét các URL đích bằng Trình Kiểm Tra Liên Kết của chúng tôi để xác nhận các tuyến chuyển hướng vẫn sạch sẽ và được bảo mật SSL.

Khám phá trình tạo mã QR của chúng tôi để tìm hiểu cách các mã vectơ động có thể được triển khai an toàn trên tài sản vật lý của doanh nghiệp.

Hơn nữa, các nhóm bảo mật thông tin doanh nghiệp ngày càng tích hợp các mô-đun an toàn mã QR vật lý vào các chương trình đào tạo nhân viên nội bộ. Việc dạy nhân viên kiểm tra mã vạch vật lý trong các môi trường công cộng và báo cáo các nhãn dán nghi ngờ giúp giảm đáng kể rủi ro thu thập thông tin chứng chỉ của doanh nghiệp trên lực lượng lao động lai và từ xa.

Duy trì cảnh giác về an ninh và sử dụng chuyển hướng có thương hiệu đã được xác minh đảm bảo rằng người tiêu dùng quét mã vạch vật lý với sự tin tưởng và an toàn hoàn toàn.

Bằng cách đầu tư vào phần cứng vật lý chống giả mạo và định tuyến kỹ thuật số đã được xác minh, các doanh nghiệp bảo vệ tính toàn vẹn của biển hiệu vật lý và bảo vệ mối quan hệ với khách hàng.

Hướng dẫn người dùng để quét mã QR an toàn ở nơi công cộng

Mỗi người dùng điện thoại thông minh có thể tự bảo vệ mình khỏi quishing bằng cách áp dụng thói quen quét chủ động và có kỷ luật ở những không gian công cộng.

Các hướng dẫn an toàn cá nhân thiết yếu khi quét công cộng:

1. Kiểm tra bảng hiệu vật lý xem có lớp dán chồng lên không:
   Trước khi quét, hãy chạy ngón tay của bạn qua mã QR. Nếu bạn cảm thấy có một lớp sticker nổi trên bề mặt kim loại hoặc acrylic bên dưới, đừng quét nó.
2. Kiểm tra kỹ bản xem trước URL đã giải mã trong camera của bạn:
   Các ứng dụng camera hiện đại hiển thị một bong bóng xem trước của URL đích. Hãy xác minh chính tả tên miền chính xác khớp với nhà cung cấp dịch vụ hợp pháp trước khi nhấn.
3. Không bao giờ nhập mật khẩu nhạy cảm sau khi quét mã công khai:
   Thực đơn nhà hàng hợp pháp và đồng hồ đỗ xe hiếm khi yêu cầu nhập mật khẩu tài khoản ngân hàng hoặc mã định danh an sinh xã hội đầy đủ.
4. Sử dụng các ứng dụng di động chính thức chuyên dụng khi có sẵn:
   Đối với thanh toán đỗ xe và vé giao thông, hãy mở ứng dụng chính thức của thành phố trực tiếp từ màn hình chính thay vì quét decal đường phố một cách ngẫu nhiên.

Bằng cách kết hợp sự cảnh giác về thể chất với việc xác minh liên kết thông minh, cả tổ chức và người tiêu dùng đều có thể tận hưởng sự tiện lợi sâu sắc của công nghệ QR đồng thời vô hiệu hoá các mối đe dọa quishing.

Câu hỏi thường gặp