Liczba ataków z wykorzystaniem kodów QR rośnie w zastraszającym tempie – alarmuje Malwarebytes. Niestety przestępcy osiągają duże sukcesy.
Co jest groźniejsze niż phishing? Eksperci z firmy Malwarebytes przekonują, że w dobie smartfonów w szczególnym stopniu powinniśmy obawiać się innej techniki wyłudzenia danych, znanej jako quishing. Co do zasady przestępcom niezmiennie chodzi o kradzież informacji, tyle że wykorzystują oni nieco inny niż dotychczas fortel.
Zamiast klasycznego linku do szkodliwej strony, ofiara otrzymuje kod QR. Ten również prowadzi pod potencjalnie niebezpieczny adres, na przykład do fałszywej witryny banku, jednak jest trudniejszy do wykrycia przez zaporę programową. Jak zauważono, większość dostępnych obecnie narzędzi antywirusowych czy klientów pocztowych kodów graficznych w ogóle nie skanuje.
Nieprzyzwyczajeni do zdradliwych kodów QR, zdaniem Malwarebytes, są ponadto sami użytkownicy. Mają kojarzyć je głównie z transportem publicznym, biletami wstępu czy promocjami, więc w opinii badaczy z góry traktują ten format jako niegroźny. Efektem jest ponoć wielokrotny wzrost liczby ofiar tego typu ataków w ostatnim czasie.
Jako przykład pada kampania przeprowadzona przez niezidentyfikowaną grupę przestępców w sierpniu 2023 roku, w ramach której przejęto tysiące kont Microsoft. Kody QR, rozsyłane na pocztę Outlook, miały rzekomo służyć do potwierdzenia danych, by uniknąć blokady konta. W rzeczywistości kierowały zaś do strony wyłudzającej loginy oraz hasła.
Ale wcale przykładów nie trzeba szukać tak daleko. W październiku CERT Polska przestrzegał przed fałszywymi mandatami, które zaczęły pojawiać się na warszawskich parkingach. Wcześniej analogiczną kampanię mogliśmy zaobserwować na terenie Krakowa. Rzecz jasna, każdorazowo chodziło o przekierowanie ofiary na stronę wyłudzającą dane.
Malwarebytes podkreśla, aby zaprzestać postrzegania kodów QR jako niegroźnych i stosować dokładnie te same zasady co w przypadku wszelkich linków. Upewnić się, kto jest adresatem danej wiadomości, lub czy znaleziona właśnie ulotka nie wygląda aby zbyt podejrzanie. To oczywiście komunały, ale ciężko o bardziej celną poradę.
Redakcja doda, że warte polecenia są skanery kodów online, takie jak Web QR, które pozwalają zweryfikować zawartość kodu bez jego otwierania. Dzięki temu można łatwo sprawdzić, gdzie prowadzi konkretny kod, nie ryzykując choćby w minimalnym stopniu. Zeskanować kod bez otwierania pozwala m.in. także aplikacja Obiektyw Google, która wyświetli wówczas link w białym dymku.
Źródło zdjęć: Lee Charlie / Shutterstock
Źródło tekstu: Malwarebytes, oprac. własne
