Quishing

Quishing – metoda oszustwa internetowego (forma phishingu), polegająca na przekazaniu ofierze oszustwa do zeskanowania odpowiednio spreparowanego kodu QR.

Przygotowanie ataku

Zniszczony kod QR w przestrzeni publicznej

Oszuści mogą znaleźć ofiarę korzystając z komunikatorów lub mediów społecznościowych i za ich pośrednictwem wysyłać jej spreparowany kod QR, możliwe jest także przekazanie kodu QR w inny sposób – na przykład na ulotce wręczonej na ulicy bądź poprzez umieszczenie kodu w miejscu publicznym (w 2023 roku złapano na przykład oszustów rozklejających fałszywe kody QR na krakowskich parkomatach).

Aby dodatkowo zachęcić ofiarę do zeskanowania kodu, stosuje się różne techniki manipulacyjne – na przykład: opisuje się go jako prowadzący do odbioru nagrody, dokonania płatności mobilnej, obiecuje się oszczędność czasu i ułatwienie życie lub straszy promocją ograniczoną czasowo.

Metody quishingu

Kiedy ofiara zeskanuje przekazany przez hakera kod QR, zostaje przekierowana pod przygotowany przez niego adres – na przykład:

• podobnie jak w przypadku tradycyjnych ataków phishingowych – strony internetowej do złudzenia przypominającej stronę banku lub innej wiarygodnej instytucji, wymagającej zalogowania – po podaniu danych logowania, są one przechwytywane przez atakującego;
• strony umożliwiające dokonanie płatności – rzekomo pożądanej przez użytkownika (np. opłaty parkingowej),
• strony pobierania złośliwego oprogramowania;
• link uwierzytelniający logowanie na urządzeniu oszusta na konto użytkownika w danej aplikacji. Opisano przejmowanie w ten sposób dostępu do aplikacji Wiadomości od Google – działanie to umożliwia oszustowi czytanie wiadomości SMS ofiary, dostęp do listy kontaktów z urządzenia, wysyłkę SMS-ów w imieniu ofiary (także dodatkowo płatnych).

Zapobieganie i obrona przed atakami quishingowymi

Skanowanie kodu QR za pomocą aplikacji informującej pod jaki adres URL prowadzi zeskanowany kod

Jako główne metody ochrony przed atakami quishingowymi wskazuje się:

• weryfikację wiarygodności kodu QR i powiązanego z nim opisu (np. na plakacie czy ulotce),
• weryfikację autentyczności strony, na którą trafiło się po zeskanowaniu kodu,
• zachowanie szczególnej ostrożności w przypadku kodów QR z dołączoną wiadomością wzbudzającą szczególne emocje,
• wyłączenie niezaufanym aplikacjom dostępu do kamery w urządzeniu mobilnym (w celu uniknięcia niezamierzonego zeskanowania kodu),
• wykorzystywanie wyłącznie oficjalnych aplikacji do płatności w miejscach publicznych.

Każdy fakt padnięcia ofiarą podobnego oszustwa należy zgłosić policji.