Nowe zagrożenie za pośrednictwem kodów QR: Twój telefon może zostać zainfekowany poprzez samo zeskanowanie!

Phishing za pomocą kodów QR, znany również jako „Quishing”, stał się bardziej niebezpieczny niż kiedykolwiek, ponieważ atakujący wykorzystują te kody w innowacyjny sposób, aby włamywać się do urządzeń i kraść dane.

Według raportu opublikowanego przez Silicon Angle , cyberprzestępcy umieszczają teraz złośliwy kod JavaScript w kodach QR, który uruchamia się automatycznie zaraz po zeskanowaniu. Co bardziej niepokojące, użytkownicy nie muszą nawet klikać linku wyświetlanego po zeskanowaniu, aby ich urządzenia zostały zainfekowane.

Metoda ta różni się od tradycyjnych zagrożeń związanych z kodami QR , które po prostu przekierowywały użytkowników na złośliwe strony internetowe po kliknięciu przez nich łącza pojawiającego się po zeskanowaniu.

Zamiast tego, ta nowa metoda polega na osadzaniu kodu HTML i JavaScript bezpośrednio w kodach QR za pomocą identyfikatorów URI (Uniform Resource Identifiers). Oznacza to, że złośliwe oprogramowanie może działać wyłącznie w przeglądarce, gdzie może przejmować strony logowania, szpiegować wpisywane dane (keylogger) i natychmiast uruchamiać exploity.

Po aktywacji złośliwy kod JavaScript może również wyodrębnić dane za pomocą ukrytych szablonów i utworzyć odcisk palca urządzenia. Co bardziej niepokojące, ten złośliwy kod może ominąć większość programów, narzędzi i systemów zabezpieczających, ponieważ złośliwe oprogramowanie jest osadzone w samym kodzie i dlatego nie łączy się z żadnymi zewnętrznymi adresami URL podczas wykonywania. Podobnie, raport INKY na ten temat dodaje, że atakujący już wykorzystują te nowe techniki phishingu, aby ukryć niebezpieczne złośliwe oprogramowanie i uniknąć wykrycia.

Jak chronić się przed złośliwymi kodami QR: kompleksowy przewodnik

To oczywiste, ale podkreślamy: unikaj skanowania kodów QR z nieznanych źródeł . Absolutnie nie. Jeśli źródło jest nieznane lub niepożądane, nie skanuj go. Bezpieczeństwo cyfrowe zaczyna się od ostrożności.

Jeśli otrzymasz wiadomość e-mail lub SMS z prośbą o zeskanowanie kodu QR w celu wykonania czynności lub działania, zwłaszcza jeśli wiadomość ma charakter pilny, skontaktuj się z nadawcą bezpośrednio za pośrednictwem znanego numeru telefonu, kanału czatu lub oficjalnych danych kontaktowych firmy – a nie odpowiadając na wiadomość e-mail lub SMS, z której wysłano prośbę. Niezależnie sprawdź, czy nadawca wymaga zeskanowania kodu. To kluczowy krok, aby zweryfikować autentyczność prośby i uniknąć oszustwa.

Nigdy nie podawaj danych logowania ani żadnych innych poufnych danych osobowych po zeskanowaniu kodu QR, chyba że masz absolutną pewność, że odwiedzana strona jest legalna. Dokładnie sprawdź adres URL, nawet jeśli na pierwszy rzut oka wygląda dobrze. Oszuści często używają adresów URL, które wyglądają bardzo podobnie do oryginałów, aby oszukać użytkowników.

Jednocześnie należy wyłączyć funkcję automatycznego otwierania przeglądarki w systemie operacyjnym telefonu komórkowego lub aplikacji do skanowania kodów QR. Zapobiegnie to otwieraniu linków przez skaner, zanim zdążysz je zweryfikować. Upewnij się również, że używasz skanera kodów QR, który wyświetla adres URL przed jego otwarciem. Te ustawienia zapewniają dodatkową warstwę ochrony przed złośliwymi linkami.

Podobnie jak w przypadku każdego zagrożenia phishingiem, należy zachować szczególną ostrożność i sceptycyzm wobec wszelkich wiadomości (e-mail, SMS lub w mediach społecznościowych) niosących ze sobą poczucie pilności lub zagrożenia. Wszelkie wiadomości zawierające groźbę dezaktywacji konta, podjęcia kroków prawnych, zawieszenia konta, nieautoryzowanego logowania lub żądania natychmiastowego działania należy traktować jako potencjalny atak. Takie taktyki są powszechne w próbach phishingu i mają na celu wywarcie presji na użytkowników, aby podjęli pochopne decyzje.

Jeśli otrzymasz podejrzaną wiadomość e-mail zawierającą kod QR, zgłoś to swojemu zespołowi IT lub działowi bezpieczeństwa w pracy. Jeśli zobaczysz podobną wiadomość na swoim koncie osobistym, zawsze możesz zgłosić ją jako spam lub potencjalny atak phishingowy. Zgłaszanie takich wiadomości pomaga chronić innych przed oszustwami.

Biorąc pod uwagę ogromną popularność kodów QR i to, jak chętnie ludzie skanują je w restauracjach i innych miejscach publicznych, nie sądzę, aby to zagrożenie zniknęło w najbliższym czasie. Miejmy nadzieję, że zarówno Google, jak i Apple będą pracować nad wdrożeniem metod ochrony użytkowników Androida i iPhone'ów przed złośliwymi kodami QR. Opracowanie solidnych mechanizmów bezpieczeństwa jest kluczowe dla zapewnienia bezpieczeństwa użytkownikom w dobie cyfrowej.