Czym jest „quishing”? Jak działa phishing z wykorzystaniem kodów QR i jak się przed nim chronić

Quishing to phishing z wykorzystaniem kodów QR. Zamiast podejrzanego linku w e-mailu, haker ukrywa złośliwą stronę za kodem QR – na plakacie, parkometrze albo w załączniku do e-maila. Każdy, kto zeskanuje ten kod, trafia na fałszywą stronę, która wyłudza dane logowania lub informacje o płatnościach albo instaluje złośliwe oprogramowanie.

Ta sztuczka działa, bo kod QR ukrywa miejsce docelowe. Podczas gdy w przypadku linku w e-mailu możesz jeszcze najechać kursorem, kod QR nie daje ci żadnej wskazówki, gdzie trafisz. W tym artykule wyjaśniamy, jak działa atak typu „quishing”, dlaczego ta forma phishingu zyskuje na popularności i jak chronić swoją organizację.

Znaczenie słowa „quishing”: co oznacza ten termin?

„Quishing” to połączenie słów „QR” i „phishing”. Cel jest taki sam jak w przypadku każdego ataku phishingowego: nakłonienie kogoś do podania danych logowania, zatwierdzenia płatności albo pobrania złośliwego oprogramowania. Różni się tylko sposób realizacji. Atakujący nie używa linku, który można kliknąć, tylko kod QR, który prowadzi do złośliwej strony.

Ten przełącznik to coś więcej niż tylko gadżet. Od czasu pandemii skanujemy kody QR bez zastanowienia – żeby sprawdzić menu, zapłacić, zaparkować czy się zalogować. Hakerzy wykorzystują właśnie ten wyuczony odruch: skanowanie wydaje się czymś rutynowym, a nie ryzykownym.

Jak działa „quishing”?

Typowy atak typu „quishing” przebiega w czterech etapach:

• Atakujący tworzy kod QR, który prowadzi do fałszywej strony internetowej – często jest to imitacja strony logowania do Microsoft 365, serwisu bankowego albo serwisu płatniczego.
• Kod jest rozpowszechniany przez e-mail, list, ulotkę albo jako naklejka przyklejona na prawdziwy kod QR w miejscu publicznym.
• Ofiara skanuje kod telefonem. To kluczowy moment: atak przenosi się z firmowego laptopa, który ma filtry i oprogramowanie zabezpieczające, na prywatny smartfon, który często jest o wiele gorzej chroniony.
• Fałszywa strona spełnia swoje zadanie. Ofiara loguje się na tej podróbce, a haker przechwytuje dane logowania, czasem łącznie z sesją uwierzytelniania wieloskładnikowego (MFA).

W środowiskach korporacyjnych najczęstszym wariantem jest e-mail, który wygląda, jakby pochodził z działu IT albo od Microsoftu: rzekomo wygasają twoje ustawienia uwierzytelniania wieloskładnikowego (MFA) i musisz zeskanować kod, żeby się ponownie uwierzytelnić. Sam e-mail nie zawiera żadnego linku, w który można by kliknąć, i właśnie to sprawia, że wygląda na nieszkodliwy.

Dlaczego phishing z wykorzystaniem kodów QR jest tak skuteczny

Quishing rozwiązuje dwa problemy, z którymi borykają się atakujący w przypadku klasycznych wiadomości phishingowych.

Po pierwsze: filtry e-mailowe analizują tekst i sprawdzają linki, ale kod QR to obrazek. Złośliwy adres URL jest niewidoczny nie tylko dla odbiorcy, ale też dla sporej części narzędzi zabezpieczających. Wiadomości, które z normalnym linkiem zostałyby natychmiast zablokowane, z kodem QR przechodzą bez problemu.

Po drugie: skan przenosi ofiarę na jej telefon. Na małym ekranie trudniej sprawdzić pasek adresu, adres URL jest często częściowo zasłonięty, a na urządzeniach osobistych często brakuje zabezpieczeń firmowych, takich jak filtrowanie treści internetowych. Atakujący wywabia ofiarę ze środowiska chronionego dokładnie w momencie, gdy zaczyna się atak.

Quishing w praktyce: fałszywy kod QR może pojawić się gdziekolwiek

Siła tej formy oszustwa polega na tym, że fałszywy kod QR może znaleźć się wszędzie tam, gdzie normalny: na automacie, w skrzynce pocztowej, w skrzynce odbiorczej lub na ścianie w biurze. Wszystkie te sytuacje naprawdę miały miejsce:

• Fałszywy kod QR na parkometrze. W listopadzie 2024 roku holenderska policja i ANWB ostrzegły przed naklejkami z fałszywymi kodami QR na parkometrach, między innymi w Amsterdamie, Maastricht i Sittard-Geleen. Kod ten przekierowywał do podróbki znanej aplikacji parkingowej; „opłata za parkowanie” i dane karty trafiały prosto do przestępców.
• List z „banku”. Oszuści wysyłają listy na przekonującym papierze firmowym banku: rzekomo trzeba wymienić twoją kartę debetową, a żeby to załatwić, skanujesz kod QR. Organizacja Veilig Bankieren ostrzega przed tą formą oszustwa właśnie dlatego, że papierowy list wydaje się bardziej wiarygodny niż e-mail.
• E-mail od Ministerstwa Spraw Zagranicznych w pracy. „Twój aplikator wygasa dzisiaj, zeskanuj ten kod, żeby zachować dostęp”. Połączenie poczucia pilności i znanego procesu sprawia, że to najskuteczniejsza wersja tego oszustwa w biurze.
• Fałszywa faktura albo prośba o podpisanie. Dokument, który wygląda, jakby pochodził z serwisu DocuSign albo od dostawcy, z kodem QR do „wyświetlenia” lub „podpisania” faktury.
• Plakat albo ulotka w biurze. Ogłoszenie o imprezie dla pracowników albo nowych zasadach parkowania, z kodem QR, którego nikt nie kwestionuje.

Quishing, phishing, smishing i vishing: czym się różnią?

Wszystkie cztery to formy inżynierii społecznej; różnica polega na kanale. Klasyczny phishing działa przez e-mail z linkiem lub załącznikiem. Smishing wykorzystuje SMS-y i komunikatory, vishing odbywa się przez telefon, a quishing używa kodów QR jako punktu wejścia. W praktyce atakujący łączą różne kanały: najpierw wysyłają e-mail z quishingiem do pracy, a potem dzwoni „pomoc techniczna” z pytaniem, czy logowanie się udało.

Chcesz poznać pełny przegląd tych wariantów i innych metod ataków? Przeczytaj nasz artykuł o najczęstszych rodzajach ataków phishingowych.

Jak zabezpieczyć swoją organizację przed quishingiem

Niech zachowanie będzie pierwszą linią obrony. Właśnie dlatego, że technologia ma trudności z rozpoznawaniem kodów QR, rola rozpoznania przez pracowników jest tu ważniejsza niż w przypadku zwykłego phishingu. Szkolenia z zakresu świadomości bezpieczeństwa uczą twój zespół odpowiedniego odruchu: traktuj nieoczekiwany kod QR dokładnie tak samo, jak nieoczekiwany link. Nie skanuj go ani nie sprawdzaj podglądu adresu URL po zeskanowaniu, zanim go klikniesz.

Przeprowadź testy z wykorzystaniem realistycznych symulacji. Symulacja phishingu pokazuje, kto na co się nabiera, i sprawia, że przypadkowe kliknięcie staje się okazją do nauki, a nie incydentem. Powtarzające się testy utrzymują czujność i pokazują, czy zachowania faktycznie się poprawiają.

Wypełnij luki techniczne. W miarę możliwości wybieraj uwierzytelnianie wieloskładnikowe (MFA) odporne na phishing, zabezpiecz urządzenia mobilne, które mają dostęp do danych firmowych, i ułatw zgłaszanie podejrzanych wiadomości: pracownik, który w ciągu minuty zgłosi podejrzany e-mail z kodem QR, chroni wszystkich kolegów, którzy otrzymali tę samą wiadomość.

Często zadawane pytania

Co się stanie, jeśli zeskanujesz phishingowy kod QR?

Samo skanowanie zazwyczaj nie stanowi zagrożenia. Ryzyko wiąże się z tym, co dzieje się potem: ze stroną, którą otwiera ten kod. Dopóki się nie zalogujesz, nie wprowadzisz danych ani niczego nie pobierzesz, szkody są zazwyczaj niewielkie. Wpisałeś dane logowania? Natychmiast zmień hasło i powiadom swój dział IT.

Jak rozpoznać fałszywy kod QR?

Zanim zaczniesz skanować, przyjrzyj się sytuacji: naklejka przyklejona na innym kodzie, prośba o płatność tam, gdzie byś się tego nie spodziewał, albo e-mail, który nalega, żebyś zeskanował kod telefonem – to wszystko sygnały ostrzegawcze. Po zeskanowaniu zawsze sprawdź adres URL wyświetlany przez aparat, zanim otworzysz stronę.

Czy filtr antyspamowy blokuje wiadomości typu „quish”?

Często nie. Większość filtrów sprawdza linki i tekst, a kod QR to po prostu obrazek bez czytelnego linku. Niektórzy dostawcy rozwiązań zabezpieczających skanują teraz kody QR w mailach, ale wykrywanie ich nadal nie dorównuje klasycznemu phishingowi. Właśnie dlatego czujni pracownicy to najważniejszy środek zapobiegawczy.

„Quishing” to nie jakiś nowy rodzaj oszustwa, tylko nowa otoczka starej sztuczki: zwabienie kogoś na fałszywą stronę i sprawienie, żeby sam wykonał całą robotę. Zespoły, które rozpoznają ten schemat, nie zatrzymują się tylko na linkach w mailach, ale zwracają też uwagę na ten niewinnie wyglądający mały kwadracik.