Προσέξτε, μην σκανάρετε κάθε κωδικό QR στα email σας

Ο κόσμος αλλάζει και το phishing εξελίσσεται περιλαμβάνοντας τώρα  κωδικούς QR καθώς οι χάκερ προσπαθούν να μεγιστοποιήσουν τις δυνατότητές τους.

Μια νέα έκθεση από ερευνητές κυβερνοασφάλειας SecurityHQ ισχυρίζεται ότι έχει παρατηρήσει μια “σημαντική αύξηση” τέτοιων email “quishing” τους τελευταίους δύο μήνες. Η υπόθεση είναι απλή – η πλειοψηφία των σημερινών παρόχων υπηρεσιών email κάνουν σχετικά καλή δουλειά στο φιλτράρισμα των email με κακόβουλες διευθύνσεις URL μέσα.  Ωστόσο, δεν κάνουν τόσο καλή δουλειά στην πλατφόρμα για κινητά και δεν μπορούν να σαρώσουν κωδικούς QR, καθιστώντας αυτό μια μοναδική ευπάθεια για εκμετάλλευση από τους χάκερ.

Έτσι, στην πράξη, ένα θύμα θα λάμβανε ένα email ηλεκτρονικού ψαρέματος που δεν θα περιέχει συνδέσμους. Αντίθετα, ακριβώς δίπλα στην παρότρυνση για δράση (ή στην υπογραφή) θα υπάρχει ένας κωδικός QR σε ένα αρχείο .JPG ή ένα αρχείο .PNG που μπορεί να μεταβιβάσει οποιαδήποτε εργαλεία ασφαλείας email.

Βήμα-βήμα η διαδικασία phising μέσω κωδικού QR

Το θύμα δεν βλέπει τον σύνδεσμο, που είναι συνήθως ο καλύτερος τρόπος για να εντοπίσετε έναν ιστότοπο ηλεκτρονικού ψαρέματος. Αμέσως ο ανυποψίαστος χρήστης σαρώνει τον κωδικό QR με το κινητό του τηλέφωνο και θα ανακατευθυνθεί σε μια κακόβουλη σελίδα προορισμού, όπου είτε θα παρασυρθεί να κατεβάσει κάτι (όπως κακόβουλο λογισμικό), είτε θα συνδεθεί σε μια υπηρεσία (δίνοντας τα ευαίσθητα δεδομένα τους στους εισβολείς ). Υπάρχει επίσης η πιθανότητα να ζητηθεί και να εγγραφεί το θύμα σε εγγραφείτε σε μια υπηρεσία (και πάλι, δίνοντας ευαίσθητες πληροφορίες).

Δεδομένης της επικράτησης επικοινωνίας μέσω email τόσο σε ιδιωτικό όσο και σε επιχειρηματικό περιβάλλον και του χαμηλού κόστους αποστολής μηνυμάτων ηλεκτρονικού ταχυδρομείου, το phishing παραμένει ο νούμερο ένας τρόπος επίθεσης για τους περισσότερους παράγοντες απειλών.

Ο συνήθης στόχος του phishing είναι να οδηγήσει το θύμα στους εισβολείς και να τους παρέχει πρόσβαση στους λογαριασμούς ή στα τελικά σημεία τους, είτε με λήψη και εκτέλεση κακόβουλου λογισμικού είτε με κοινή χρήση διαπιστευτηρίων σύνδεσης μέσω σελίδων προορισμού phishing.