07.05.2023
1 хв
1960
QR-коди, або коди швидкого реагування, є двовимірними штрих-кодами, які можуть зберігати велику кількість інформації та швидко зчитуватися смартфонами або сканерами. Вони були створені в 1994 році японським автомобільним виробником для оптимізації виробництва, але стали особливо популярними під час пандемії, коли допомагали підтримувати бізнес під час соціального дистанціювання. Їх використання зросло в різних сферах, таких як обробка платежів, маркетинг і реклама. Дослідження показують, що до 2025 року понад 100 мільйонів користувачів у США будуть сканувати QR-коди зі своїх телефонів.
QR-коди можна сканувати як з екранів, так і з друкованих матеріалів, що зробило їх універсальним інструментом у багатьох сферах. Вони активно використовуються в громадських місцях, зокрема на рекламних щитах і в ресторанах, а також у цифрових повідомленнях, таких як SMS, соцмережі та електронна пошта.
QR-коди можна розділити на два основні типи на основі їх гнучкості даних: статичні та динамічні.
Статичні QR-коди фіксовані та не можуть бути змінені після створення. Вони зазвичай використовуються для обміну статичною інформацією, як-от URL-адреса веб-сайту, контактні дані або пароль Wi-Fi.
Динамічні QR-коди , навпаки, більш гнучкі, оскільки інформацію, яку вони кодують, можна оновлювати або змінювати без зміни зовнішнього вигляду коду. Вони містять унікальну URL-адресу, яка спрямовує користувачів на сервер, де зберігається інформація. Така адаптивність робить їх ідеальними для ситуацій, коли контент потребує частих оновлень, як-от інформація про події, рекламні пропозиції або відстеження запасів у реальному часі. Однак така сама гнучкість також становить загрозу безпеці, оскільки шахраї можуть використовувати динамічні QR-коди, змінюючи їх джерело, щоб перенаправляти користувачів на шкідливі сайти.
Фішинг — це популярний серед кіберзлочинців метод отримання доступу до конфіденційних даних через соціальну інженерію, зазвичай через електронні листи. У таких листах часто є посилання або вкладення, які обманом змушують користувачів передавати особисту інформацію. Сучасні варіанти фішингу включають вішинг (фішинг через телефонні дзвінки), смішинг (фішинг через SMS) і квішинг (фішинг через QR-коди), де кожен метод використовує різні комунікаційні канали для досягнення тих самих шахрайських цілей, зокрема викрадення особистих даних через QR-коди.
Квішинг — це тип фішингової атаки, в якій використовуються QR-коди, щоб змусити людей відвідувати шкідливі сайти або завантажувати зловмисне програмне забезпечення. QR-коди можуть містити посилання на різні ресурси, такі як документи, платіжні портали та інші джерела. Кіберзлочинці маніпулюють кодами, вбудовуючи в них шкідливі посилання, заражені вірусами файли або підроблені платіжні сторінки. Оскільки зміст QR-коду не відображається користувачу, це дозволяє зловмисникам уникати перевірок безпеки, вставляючи шкідливі коди в електронні листи чи рекламні матеріали.
Типова атака квішингу розпочинається з того, що шахраї створюють QR-коди, які перенаправляють на підроблені сторінки входу або сайти, що автоматично завантажують шкідливе ПЗ після сканування. Ці шкідливі коди можуть бути розміщені в електронних листах у вигляді зображень або вкладень, або ж розміщені у публічних місцях, де їх ймовірно відсканують користувачі. Після сканування жертви можуть бути введені в оману, запрошені до введення своїх облікових даних або банківської інформації, або ж автоматично завантажити шкідливі файли. В окремих випадках завантаження зловмисного вмісту відбувається автоматично одразу після сканування, що додатково ускладнює захист пристрою жертви.
Такий вид шахрайства використовує природну довіру людей до QR-кодів і їх зручність, оскільки користувачі не бачать вмісту за QR-кодом до його сканування. Це робить квішинг ефективним інструментом для викрадення особистої інформації та поширення шкідливих програм.
QRLJacking — це складна форма квішинга, яка спеціально націлена на системи Quick Response Login (QRL). QRL є зручним методом автентифікації, що дозволяє користувачам увійти на вебсайти або цифрові служби, скануючи QR-код своїм смартфоном. Це спрощує процес входу, оскільки не потрібно запам’ятовувати складні паролі, надаючи користувачам альтернативу.
Однак ця зручність також несе потенційні ризики, які використовують кіберзлочинці. Атака QRLJacking починається з того, що хакери ініціюють сеанс націленого вебсайту або програми й клонують законний QR-код. Далі вони маніпулюють цим кодом, перенаправляючи його на власний сервер і вставляючи на підроблену сторінку входу, яка виглядає як справжня. Шкідливий QR-код зазвичай надсилається через електронну пошту або інші канали, змушуючи користувачів сканувати його для входу.
Небезпека QRLJacking полягає в тому, що без багатофакторної автентифікації зловмисники можуть миттєво отримати доступ до облікових записів жертви після сканування підробленого QR-коду. Прикладом цієї атаки є випадок з ING Bank, коли їхній додаток дозволяв клієнтам входити на інші пристрої через QR-код. Кіберзлочинці скористалися цим, створюючи фальшиві QR-коди для додатку. А звичайні користувачі ставали жертвами, в результаті чого з їхніх рахунків зникали значні суми грошей.
Щоб захистити себе від шахрайства з QR-кодом, важливо бути пильним і шукати певні ознаки перед скануванням QR-коду:
Несподівані або небажані QR-коди: будьте обережні з QR-кодами, які з’являються в небажаних електронних листах або повідомленнях, особливо якщо вони спонукають вас негайно вжити заходів.
Відсутність контексту чи пояснення: законні QR-коди зазвичай супроводжуються чіткими поясненнями їх призначення. Будьте обережні з кодами без контексту або надійного джерела.
Підозрілий відправник. Перевірте адресу електронної пошти відправника або контактну інформацію на наявність будь-яких ознак нелегітимності, як-от орфографічні помилки чи незвичні доменні імена.
Терміновість або тиск: шахраї часто створюють відчуття терміновості, щоб спонукати до швидких дій. Скептично ставтеся до повідомлень, які змушують вас негайно сканувати QR-код.
Перевірте джерело: якщо можливо, перевірте законність QR-коду, зв’язавшись з імовірним відправником через офіційні канали.
Використовуйте захищений сканер QR-коду: деякі програми для сканування QR-коду пропонують функції безпеки, які перевіряють безпеку посилання перед його відкриттям. Розгляньте можливість використання такої програми, щоб додати додатковий рівень захисту.
Усвідомлюючи ці ознаки та виявляючи обережність, ви можете зменшити ризик стати жертвою атаки квишинга та захистити свою конфіденційну інформацію від злому.
Щоб захиститися від атак квишинга, важливо поєднувати загальні стратегії запобігання фішингу із заходами, спеціально адаптованими до унікальних проблем, пов’язаних із QR-кодами:
Перевірте джерело QR-коду: будьте обережні, скануючи QR-коди, особливо з невідомих джерел або тих, що обіцяють надто добрі, щоб бути правдою пропозиції. Якщо код походить із начебто офіційного джерела, друга чи колеги, перевірте його автентичність безпосередньо у них або відвідайте їхній офіційний веб-сайт.
Використовуйте надійний зчитувач QR-кодів: хоча більшість смартфонів мають вбудовані можливості сканування QR-кодів, якщо ви обираєте програму стороннього виробника, переконайтеся, що вона надійна.
Попередній перегляд цільової URL-адреси: якщо ваша програма для сканування дозволяє, попередньо перегляньте посилання, на яке спрямовує вас QR-код, перш ніж отримати доступ до нього. Цей запобіжний захід допомагає захиститися від QR-кодів, які автоматично завантажують зловмисне програмне забезпечення після сканування.
Будьте обережні з особистою інформацією: після сканування QR-коду будьте пильні, коли вам буде запропоновано ввести особисту інформацію на сторінці за посиланням. Ретельно перевірте логотип і повну URL-адресу сайту та, якщо можливо, вручну введіть оригінальну URL-адресу у свій браузер замість того, щоб використовувати посилання, надане QR-кодом.
Увімкніть двофакторну автентифікацію: додавання цього додаткового рівня безпеки може запобігти несанкціонованому доступу до ваших облікових записів, навіть якщо кіберзлочинець отримає ваші облікові дані. Будьте обережні, приймаючи сповіщення про автентифікацію на своєму телефоні, якщо ви не ініціювали спробу доступу до облікового запису.
Дотримуючись цих рекомендацій, ви можете посилити свій захист від атак квишинга та захистити вашу конфіденційну інформацію від потрапляння в чужі руки.
