Quishing: Jak podvodníci získávají data přes QR kódy
Autor obsahu – Sebastian Raida
QR kódy dnes již slouží jako rychlý a pohodlný způsob přenosu dat. Jednoduchým skenem můžeme zadat platbu, podívat se na menu v restauraci či provést registraci na webových stránkách. S vysokou popularitou QR kódů se objevil i nový podvodný fenomén nazývaný Quishing.
Quishing, neboli QR phishing, je relativně nový způsob phishingového útoku, který využívá QR kód k narušení osobní nebo organizační kybernetické bezpečnosti. Jako již u starších typů phishingových útoků, i Quishing cílí na důvěřivost či nepozornost svých obětí. Nebezpečí podvodného QR kódu zvyšuje i skutečnost, že je na první pohled k nerozeznání od toho legitimního. Přestože je tento fenomén stále rozšířený hlavně v zahraničí, již existují případy v České republice.
Jednoduchý sken, vícero rizik
Distribuce podvodných QR kódů probíhá několika způsoby. Lidé je mohou nalézt přilepené na veřejných místech, legitimní QR kódy mohou být přelepeny těmi podvodnými či se nacházejí jako součást kompromitovaných osobních či pracovních emailů a zpráv.
Podvodné QR kódy jsou obvykle využívány několika způsoby. Oběť může být po naskenování kódu přesměrována na falešnou platební bránu, která cílí na odcizení finančních údajů. Tento typ podvodu se obvykle užívá v místech, kde je možnost platby přes QR kód legitimní praktikou. Jedná se např. o veřejná parkoviště či restaurace.
Podvodníci také cílí na krádež přihlašovacích údajů. Může se jednat o údaje k sociální médiím obětí, či k firemnímu a osobnímu emailu. Odcizený účet oběti je následně využit ke zdánlivě legitimní komunikaci a k napáchání dalších škod.
V neposlední řadě může sken spustit stahování škodlivého programu, který může odcizit data, monitorovat aktivity či v extrémních případech také zajistit možnost stažení dalších programů.
Skenování chytře a bezpečně
Prvním prvkem ochrany je obezřetnost před samotným skenem QR kódu. Je chytré se fyzicky přesvědčit, že originální QR kód není přelepen jiným.
Po naskenování by se měl uživatel přesvědčit, že stránka, na kterou byl přesměrován, odpovídá tomu, kam se chtěl dostat. Jestli stránka vypadá profesionálně a text je gramaticky správně. Také je možné si ověřit adresu internetové stránky (URL) skrze databáze podvodných internetových stránek.
Velmi užitečné je používání skenovacích aplikací, které jsou přímo určené k tomu, aby možný podvod odhalily. Samozřejmostí by mělo být také zapnuté vícefaktorové ověřování na všech uživatelských účtech.
Zdroje
https://www.uniqode.com/blog/qr-code-security/how-to-check-if-a-qr-code-is-safe, https://www.aura.com/learn/fake-qr-code-scams, https://it.lbl.gov/new-phishing-qr-sms/, https://www.aztechit.co.uk/blog/what-is-quishing-avoid-qr-code-phishing, https://www.linkedin.com/pulse/5-examples-real-world-qr-code-attacks-keepnetlabs-a7vee, https://security.virginia.edu/QR-Hack, https://www.egress.com/media/jhtb1m2r/egress-phishing-threat-trends-report-april-2024.pdf, https://www.irozhlas.cz/zpravy-domov/podvod-diecezni-charita-brno-tornado-boure-qr-kod_2106261842_onz
