Что такое QR-фишинг? Как обнаружить и предотвратить мошенничество с QR-кодами

Квишинг, или QR-код фишингэто последняя в длинном ряду угроз кибербезопасности. Как бы смешно это ни звучало, но знать об этом полезно, поскольку это может предотвратить потерю денег, времени и репутации вашей компании.

QR-коды встречаются повсюду: на меню, уличных плакатах, приложениях и бизнес-сайтах. Они популярны, потому что пользователи могут использовать свою камеру для сканирования QR-кода, как веб-ссылки, чтобы перейти на сайт. 

Если что-то легко для пользователей, то это легко используют и киберпреступники. Злоумышленники используют QR-коды для перенаправления пользователей на другой сайт, а не на тот, на который они, по их мнению, попадают, открывая их личные данные для хакеров. 

В этой статье мы расскажем, как злоумышленники используют QR-коды для осуществления фишинговых атак. В ней будут рассмотрены распространенные тактики, реальные примеры, стратегии предотвращения и лучшие практики кибербезопасности.

Что такое QR-фишинг (квишинг)?

QR-фишинг (Quishing) - это когда хакеры используют QR-коды для перенаправления пользователей на вредоносные или мошеннические сайты вместо сайта, на который, по мнению пользователей, они попадают, сканируя код. Сайты, на которые перенаправляются пользователи, - это сайты, которые злоумышленники используют для кражи информации пользователей, например, учетных данных и банковских реквизитов, или для установки вредоносного программного обеспечения для кражи другой информации. 

Квишинг-атаки сложнее обнаружить, чем традиционные фишинговые атаки, поскольку копирование QR-кодов для поиска вредоносного содержимого сложнее, чем сканирование обычных URL-адресов. Поэтому поймать квишеров сложнее, чем фишеров. 

Как работают QR-фишинговые атаки

Знание того, как именно работает QR-фишинг, поможет вам понять, как с ним бороться и обезопасить своих клиентов. Для начала давайте рассмотрим пошаговое описание QR-фишинга, а затем - распространенные сценарии атак, чтобы вы знали, на что следует обратить внимание.

Пошаговое описание фишинговых атак с помощью QR

Давайте разберемся, как именно работает Quishing.

Этапы квишинга включают в себя:

1. Создание вредоносных QR-кодов: Хакеры создают вредоносные QR-коды, содержащие ссылки на мошеннические сайты, которые дают преимущества хакерам, а не оригинальным QR-производителям. 
2. Размещаются в электронных письмах, плакатах, веб-сайтах и сообщениях: QR-мошенники распространяют свои QR-коды и размещают их поверх оригинальных, так что жертвы даже не подозревают, что сканируют мошеннический код. 
3. Жертва сканирует код и перенаправляется на фишинговый сайт или скачивает вредоносное ПО: Когда жертвы так поступают, они не могут определить, что QR-код поддельный, поскольку у него нет никаких опознавательных признаков, которые бы отличали его от оригинала. 

Распространенные сценарии атак на квишинг

Многие сценарии атак возникают, когда QR-мошенники расставляют виртуальные ловушки для жертв с помощью QR-кодов. 

Среди наиболее распространенных сценариев атак Quishing можно назвать следующие:

• Поддельные страницы входа в систему (например, банковские, электронные или корпоративные порталы).: Мошенники часто делают страницы входа в систему, которые выглядят почти идентично оригиналам сайтов, на которых размещены клиенты с конфиденциальной информацией, нужной хакерам, например, банковские или корпоративные порталы.
• Поддельные опросы клиентов с поощрениями: Каждый хочет легко заработать, заполнив быстрый опрос, и мошенники используют это желание для кражи информации. Жертвы поддаются их желанию заработать деньги, заполняя свои данные, которые хакеры получают вместо законных компаний.
• QR-коды в поддельных счетах за парковку или оплату: Вы когда-нибудь получали уведомление об оплате парковки или счета? Многим приходилось, и эти поддельные QR-коды пользуются тем, что людям срочно нужно оплатить счета или штрафы за парковку, чтобы избежать штрафов или даже тюремного заключения. Такая срочность приводит к эксплуатации мошенников, которые получают банковские реквизиты, используемые для кражи денег.
• Поддельные QR-коды в бизнес-приложениях: Предприятия не застрахованы от QR-мошенничества. Злоумышленники могут наложить свой собственный поддельный QR-код на законный, например, на CRM или приложение для учета рабочего времени для мобильного устройства. Мошенники получают данные сотрудников и, возможно, доступ к данным компании.

Почему QR-фишинг опасен

QR-фишинг, похоже, привлекает внимание многих людей, но так ли он опасен на самом деле? Короткий ответ - да. 

Квишинг может стоить жертвам миллионы долларов в год, потому что его трудно обнаружить. Люди доверяют QR-кодам, мобильные устройства имеют слабую защиту, а хакеры легко обходят традиционные фильтры безопасности электронной почты, которые не имеют профиля для защиты от хакеров этого поколения. 

Стоимость киберпреступлений в мире достигла 9,22 триллиона долларов США и, скорее всего, будет расти в связи с появлением новых киберпреступлений, таких как sQuishing. В настоящее время они стоят компаниям и клиентам огромных денег, поэтому стоит принять меры по их предотвращению.

Реальный пример фишинговой атаки с помощью QR

Одно дело - узнать о квишинг-атаках, другое - услышать о том, как они повлияли на бизнес. предприятия и сообщества на реальных примерах. Первый из таких примеров - несчастный человек, потерявший 17 000 долларов.

Жертва QR-мошенников потеряла 13 тысяч фунтов стерлингов

В ноябре 2023 года несчастная 71-летняя леди из Ньюкасла, Англия, стала жертвой мошенничества с QR-кодами, в результате которого потеряла 17 000 долларов. $17,000. Вредоносная сторона достигла своей аферы, наложив поддельный QR-код поверх официального на знак парковки.

Сначала казалось, что деньги женщины в безопасности, потому что, когда она ввела свои банковские реквизиты на мошенническом сайте, ее банк остановил транзакцию. К сожалению, мошенники использовали другой прием: они притворились сотрудниками банка и успешно убедили ее взять кредит на 9 500 долларов. После этого злоумышленники начали действовать быстро: сменили ее банковские реквизиты, получили новые карты и завели онлайн-счет. 

В результате местные власти решили убрать все QR-коды со всех парковок TransPennine Express.

Такие инциденты могут влиять на людей в течение многих лет после их возникновения, поскольку вернуть сэкономленные средства, исчисляемые тысячами, как мы видим на приведенном выше примере, очень непросто. 

Как защититься от QR-фишинга

Фишинговые QR-мошенники очень хитры и их трудно обнаружить. Но есть и хорошие новости. Их можно предотвратить. 

Следуйте этим передовым методам и техническим мерам безопасности, чтобы защитить себя и свою организацию от фишинговых атак QR:

Осведомленность пользователей и лучшие практики

Во-первых, вы всегда должны проверять источники QR-кодов. Для этого можно использовать специальное приложение, но QR-мошенники очень хитры, поэтому перед установкой и использованием убедитесь, что приложение для проверки QR-кодов настоящее, ведь мошенники могут создавать поддельные приложения, чтобы получить доступ к вашим данным. 

Далее, используйте приложения, сканирующие QR-коды, прежде чем открывать ссылки. Это позволит вам не открывать ссылки, если вы не уверены в том, куда направляетесь. 

И наконец, если вы сомневаетесь в источнике, не сканируйте QR-код и проверьте его перед сканированием. 

Технические меры безопасности

Если вы являетесь организацией, а особенно предприятием, вам есть что терять, по сравнению с большинством частных лиц, например сотрудники данные сотрудников, миллионы долларов и непоправимый ущерб репутации вашей компании.

Внедрите многофакторную аутентификацию (MFA) для входа в систему, чтобы избежать фишинговых атак с использованием QR-кодов. Этот метод предполагает отправку кода на телефон пользователя каждый раз, когда он хочет войти в систему, что позволяет предотвратить атаки мошенников с QR-кодами, обеспечивая еще один уровень безопасности.

Второй подход - использование решений для кибербезопасности с функцией обнаружения фишинговых QR-мошенников. Эта функция обезопасит вас от данной угрозы. 

Наконец, проведите тренинг, который поможет сотрудникам узнать об угрозах социальной инженерии, таких как фишинговые QR-мошенничества, чтобы они могли эффективно их обнаруживать и избегать. 

Конечная сноска

QR-фишинг опасен тем, что может стоить людям денег, привести к повреждению данных и нанести ущерб репутации организации. 

Обнаружить фишинговые QR-мошенничества сложнее, чем традиционные фишинговые мошенничества, поскольку QR-коды сложнее и их труднее проверить на легитимность. К счастью, некоторые меры могут обезопасить вас, например, приложения для предварительного сканирования QR-кодов, многофакторная аутентификация и обучение сотрудников угрозам социальной инженерии, чтобы уменьшить количество таких атак.

Если вы будете следовать этим мерам и практикам, то сможете избежать большинства угроз QR-фишинга и защитить своих сотрудников и себя от потери денег.

• О сайте
• Последние сообщения

Ахона Рудра

Эксперт по безопасности доменов и электронной почты в PowerDMARC

Аона - менеджер по маркетингу в PowerDMARC, имеет более чем 5-летний опыт написания статей на темы кибербезопасности, специализируясь на безопасности доменов и электронной почты. Ахона получила диплом о высшем образовании по специальности "Журналистика и коммуникации", а с 2019 года начала работать в сфере безопасности.

Последние сообщения Ахона Рудра (см. все)

• Что такое QR-фишинг? Как обнаружить и предотвратить мошенничество с QR-кодами - 15 апреля 2025 г.
• Как проверить SPF-записи с помощью nslookup, dig или PowerShell? - 3 апреля 2025 г.
• Outlook применяет DMARC: новые требования Microsoft к отправителям объяснены! - 3 апреля 2025 г.