Μια νέα μορφή απάτης έχουν εντοπίσει εταιρείες κυβερνοασφάλειας, το λεγόμενο Quishing, το phishing μέσω των κωδικών QR. Οι κυβερνοεγκληματίες εκμεταλλεύονται την εξοικείωση των καταναλωτών με τα QR codes, τους δισδιάστατους γραμμωτούς κώδικες που παραπέμπουν διευθύνσεις URL, στοιχεία πληρωμών, πληροφορίες επικοινωνίας και άλλα δεδομένα, ευρέως διαδεδομένα στην καθημερινότητα, μετά και την αυξημένη ζήτηση για ανέπαφες αλληλεπιδράσεις κατά τη διάρκεια της πανδημίας.
Ωστόσο, σύμφωνα με την Έκθεση Απειλών της ESET, κακόβουλοι κωδικοί QR ενσωματώθηκαν σε τουλάχιστον 11% όλων των μηνυμάτων ηλεκτρονικού ταχυδρομείου phishing κατά το α’ εξάμηνο του 2026.
Στην πράξη ο κακόβουλος σύνδεσμος ή το συνημμένο αρχείο αντικαθίσταται απλώς από έναν κωδικό QR, ο οποίος μεταφέρει το θύμα από ένα σχετικά καλά προστατευμένο εταιρικό περιβάλλον σε μία δυνητικά μη διαχειριζόμενη κινητή συσκευή, παρακάμπτοντας έτσι ένα μέρος των εταιρικού επιπέδου ελέγχων ασφαλείας.
Ένα σημαντικό πλεονέκτημα για τον επιτιθέμενο είναι η δυνατότητα απόκρυψης. Ο προορισμός κωδικοποιείται σε ένα οπτικό μοτίβο και δεν εμφανίζεται ως αναγνώσιμο κείμενο. Αυτό αποκρύπτει τις κακόβουλες διευθύνσεις URL και εμποδίζει ορισμένα παραδοσιακά φίλτρα ηλεκτρονικού ταχυδρομείου να τις εξάγουν και να τις ελέγξουν. Μερικές φορές, η απόκρυψη γίνεται ακόμη πιο αποτελεσματική, καθώς οι κωδικοί QR ενσωματώνονται σε συνημμένα αρχεία PDF ή JPEG. Έτσι, είναι πιθανότερο να καταλήξουν στα εισερχόμενα των εργαζομένων.
Όταν ένα τέτοιο μήνυμα φτάσει στα εισερχόμενα, το προσωπικό μπορεί να δυσκολευτεί να διακρίνει ένα πραγματικό μήνυμα από ένα κακόβουλο. Συνήθως δεν υπάρχει αρκετό κείμενο ώστε να αναζητηθούν ορθογραφικά ή γραμματικά λάθη, ενώ ο σύνδεσμος είναι ουσιαστικά κρυμμένος μέσα σε ένα οπτικό μοτίβο και, επομένως, αόρατος στο ανθρώπινο μάτι.
Η αξιόπιστη εμπορική ταυτότητα καθησυχάζει το θύμα και το κάνει να πιστεύει ότι μπορεί να σαρώσει τον κωδικό και να συνεχίσει χωρίς κίνδυνο. Παράλληλα, οι κακόβουλοι κωδικοί QR ενσωματώνονται συχνά σε ειδοποιήσεις που παροτρύνουν τους χρήστες να προστατέψουν τον λογαριασμό τους ή να πραγματοποιήσουν έλεγχο ταυτότητας για να επιβεβαιώσουν τα στοιχεία τους.
Όπως συμβαίνει με κάθε τάση στο τοπίο των απειλών, οι κακόβουλοι παράγοντες συνεχίζουν να βελτιώνουν τις τεχνικές τους για μέγιστο αντίκτυπο. Οι επιθέσεις quishing χρησιμοποιούνται όχι μόνο για την εγκατάσταση κακόβουλου λογισμικού και την κλοπή διαπιστευτηρίων, αλλά και για την υποκλοπή διακριτικών MFA.
Ερευνητές ασφαλείας έχουν επίσης εντοπίσει τη χρήση τους σε επιθέσεις που έχουν σχεδιαστεί για παράκαμψη των μέτρων ασφαλείας του καταστήματος εφαρμογών μέσω άμεσων λήψεων εφαρμογών, όπου το κακόβουλο λογισμικό μεταμφιέζεται ως νόμιμη εφαρμογή. Αντί να οδηγεί τον χρήστη σε μια κακόβουλη ιστοσελίδα ή ιστοσελίδα ηλεκτρονικού ψαρέματος (phishing), ο σύνδεσμος παραπέμπει απευθείας σε μία νόμιμη εφαρμογή κοινωνικής δικτύωσης, πληρωμών ή άλλου είδους. Αυτό μπορεί να χρησιμοποιηθεί σε διάφορα σενάρια, όπως κατάληψη λογαριασμού, όπου το θύμα κατευθύνεται να πιστοποιήσει τον εισβολέα στον λογαριασμό του, οικονομική απάτη, όπου το θύμα κατευθύνεται σε μια εφαρμογή πληρωμών με συμπληρωμένα τα στοιχεία δικαιούχου, μόλυνση επαφών ή ημερολογίου, όπου κακόβουλοι σύνδεσμοι συσκέψεων ή νέα στοιχεία επαφών ενσωματώνονται σε βοηθητικές εφαρμογές και ανακατευθύνουν τους χρήστες σε ιστοσελίδες phishing.
Τρόποι προστασίας
Ένας σωστά σχεδιασμένος συνδυασμός αλλαγών σε επίπεδο ανθρώπινου δυναμικού, διαδικασιών και τεχνολογίας μπορεί να συμβάλει στη σημαντική μείωση του κινδύνου «quishing».
Τα μέτρα προστασίας που προτείνει η ESET είναι:
- Ξεκινήστε από τους ανθρώπους. Ενσωματώστε την καταπολέμηση του «quishing» στα προγράμματα εκπαίδευσης ευαισθητοποίησης των χρηστών και στις ασκήσεις προσομοίωσης. Ενθαρρύνετε τους υπαλλήλους να αποφεύγουν να σαρώνουν κωδικούς QR σε ανεπιθύμητα μηνύματα ηλεκτρονικού ταχυδρομείου και να αναφέρουν οτιδήποτε ύποπτο. Εάν πιστεύουν ότι προέρχεται από αξιόπιστη πηγή, θα πρέπει να επικοινωνήσουν με τον αποστολέα, χρησιμοποιώντας στοιχεία επικοινωνίας που έχουν λάβει από άλλη πηγή εκτός του μηνύματος.
- Εξετάστε την εφαρμογή τεχνικών μέτρων ελέγχου, συμπεριλαμβανομένης της ασφάλειας του ηλεκτρονικού ταχυδρομείου, προκειμένου να ελαχιστοποιήσετε τον κίνδυνο να καταλήξουν μηνύματα ηλεκτρονικού ταχυδρομείου τύπου «quishing» στα εισερχόμενα των χρηστών. Προσθέστε μια λύση ασφάλειας για κινητές συσκευές στις συσκευές των υπαλλήλων, ώστε να αποκλείεται η πρόσβαση σε κακόβουλες ιστοσελίδες. Επίσης, απαιτήστε την χρήση επαλήθευσης ταυτότητας πολλαπλών παραγόντων (MFA) ανθεκτικής στο phishing σε όλους τους ευαίσθητους λογαριασμούς, έτσι ώστε ακόμη και αν οι χρήστες εξαπατηθούν, οι επιτιθέμενοι να μην μπορούν να αποκτήσουν πρόσβαση στα εταιρικά συστήματα. Τα εργαλεία διαχείρισης κινητών συσκευών (MDM) μπορούν να σας βοηθήσουν να διασφαλίσετε ότι όλες οι συσκευές προστατεύονται σύμφωνα με την εταιρική πολιτική.
- Διατηρήστε όλα τα λειτουργικά συστήματα κινητών συσκευών και το εταιρικό λογισμικό ενημερωμένα, συμπεριλαμβανομένων των εργαλείων ασφαλείας. Επίσης, πραγματοποιείτε συνεχή παρακολούθηση για ύποπτες δραστηριότητες. Εξασκηθείτε στην εφαρμογή σχεδίων αντιμετώπισης συμβάντων σε περίπτωση που συμβεί το χειρότερο σενάριο.