Фишинг с QR код: Как да защитите бизнеса си

Използва ли вашият бизнес QR кодове, без да знае кои от тях са били подправени? Фишингът с QR кодове – често наричан “куишинг” – превръща ежедневното удобство в капан за кражба на идентификационни данни, а традиционните филтри за сигурност често го пропускат изцяло. Това ръководство обхваща как работят тези атаки, какво струват на бизнеса и какви специфични контроли можете да приложите, за да ги спрете.

Как работи фишингът с QR кодове

Фишингът с QR кодове експлоатира основна слабост: QR кодовете не са четими от човек. При традиционен URL адрес, обучено око често може да забележи фалшив домейн или подозрителен низ. QR кодът скрива всичко това. Както обяснява Алекс Мошер, глобален вицепрезидент в MobileIron:

“QR кодовете по своята същност скриват своята дестинация. Следователно, възможността да се промени QR код, така че да сочи към алтернативен ресурс, без да бъде засечен, е проста и изключително ефективна.”

Атакуващите вграждат злонамерени URL адреси в QR кодове, които пренасочват жертвите към фалшиви страници за вход, предназначени да събират идентификационни данни, или към сайтове, които задействат изтегляне на зловреден софтуер. За да се усложни проблемът, много системи за сигурност на електронната поща не могат да декодират изображения на QR кодове – те виждат картина, а не връзка – така че полезният товар преминава през филтри, които биха уловили обикновен фишинг URL адрес.

През 2023 г. фишингът с QR кодове представлява 22% от всички фишинг атаки. Една мащабна куишинг кампания нараства с 2,400% за няколко месеца, а анализ на операция, насочена към корпорации, установява, че приблизително 29% от злонамерените имейли съдържат QR кодове.

Къде атакуващите поставят злонамерени QR кодове

Атаки по имейл и документи са най-често срещаният метод за доставка. Атакуващите вграждат QR кодове в PDF или Word прикачени файлове, за да заобиколят филтрите за сигурност на имейла. През 2023 г. 82% от куишинг атаките имитират доверени марки – Microsoft е била цел в 51% от наблюдаваните случаи, следвана от DocuSign с 31% и Adobe с 15%. Между средата на 2024 г. и края на 2024 г. изследователи откриват над 500 000 фишинг имейла, съдържащи QR кодове, вградени в PDF файлове.

Физическа подправяне е също толкова опасно. Атакуващите поставят фалшиви стикери с QR кодове върху легитимни кодове на места с голям трафик – ресторанти, паркомати, летища и търговски площи. В Сан Франциско престъпници поставят фалшиви QR кодове върху фишове за паркиране, които насочват потребителите към фалшива страница за транзит, предназначена да открадне данни за кредитни карти. Администрацията за социално осигуряване изрично предупреждава, че легитимните QR кодове на официални табели обикновено не са стикери; код, приложен като стикер, трябва да се третира като подозрителен.

Примамки за социално инженерство допълват картината. Жертвите са подканени да сканират QR код, за да получат отстъпка, да се свържат с безплатен Wi-Fi или да попълнят анкета. В един документиран случай в Сингапур, жена сканира код в магазин за чай с балончета, очаквайки награда за лоялност. Вместо това, злонамерено приложение е изтеглено на телефона ѝ и атакуващите източват $2,000 от банковата ѝ сметка.

Какво струват тези атаки на бизнеса

Кражба на идентификационни данни и данни

Близо 90% от куишинг атаките са специално проектирани да крадат идентификационни данни за вход и чувствителни данни. Атакуващите пренасочват жертвите към убедителни копия на Microsoft 365, SharePoint или банкови портали. Ръководителите са непропорционално насочени, защото техните идентификационни данни отключват критични системи и привилегировани данни.

Личните устройства влошават това. Когато служителите сканират QR кодове на телефони, които не са регистрирани в корпоративното управление, ИТ екипите нямат видимост какво се е случило или до какво е осъществен достъп.

Финансови загуби

Средната цена на пробив на данни достигна 4,45 милиона долара през 2023 г., като измамите с компрометиране на бизнес имейли възлизат средно на 4,89 милиона долара – преди да се вземат предвид регулаторните глоби и съдебните разходи. Директните загуби от фишинг скочиха със 76% на годишна база. Отделни инциденти илюстрират мащаба: измама на железопътна гара в Обединеното кралство остави една жертва с дълг от 13 000 паунда; семейство от Калгари загуби 10 000 долара от измама с QR код във Facebook Marketplace.

Малките предприятия поемат непропорционално голям дял от щетите. Във Великобритания малките предприятия са изправени пред приблизително 65 000 кибератаки дневно, като средната цена за разрешаване на успешна атака е около 33 700 долара.

Оперативни смущения и репутационни щети

Откраднатите идентификационни данни често служат като входна точка за разгръщане на рансъмуер. През 2023 г. организациите са похарчили средно 1,82 милиона долара за възстановяване от инциденти с рансъмуер. Строителните и инженерните фирми са изправени пред риск от атака с QR код 19,2 пъти по-висок от средния; фирмите за професионални услуги са изправени пред риск 18,5 пъти по-висок.

Освен оперативния престой, предприятията са изправени пред отлив на клиенти, по-високи премии за застраховка за киберсигурност и регулаторен контрол, когато данните на клиентите са изложени. Възстановяването на доверието след пробив отнема много повече време, отколкото разрешаването на самия технически инцидент.

Как да предотвратим фишинг с QR код: Многослоен подход

Нито една единствена контрола не елиминира куишинга. Последователната препоръка от изследователи по сигурността, федерални агенции и екипи за корпоративна сигурност е многослойна защита, комбинираща филтриране на имейли, контроли за идентичност, защита на крайни точки, обучение на служители и работни потоци за отчитане.

Контроли за сигурност на имейлите

Конфигурирайте системите за сигурност на имейлите с възможности, които надхвърлят стандартното сканиране на връзки. Ефективните контроли включват:

• Филтриране с възможност за OCR което декодира изображения на QR кодове в имейли и анализира вградения URL адрес спрямо информация за заплахи
• Политики против фишинг настроени да маркират базирани на изображения полезни товари, особено QR кодове, вградени в PDF или прикачени файлове на Office документи
• Строги правила за спам шлюз, които третират непоискани QR кодове в имейли като високорискови по подразбиране

Специално за средите на Microsoft 365, Microsoft Defender за Office 365 включва декодиране на изображения на QR кодове за извеждане на вградени URL адреси за проверка на репутацията и оценка на Safe Links.

Контроли за идентичност и достъп

Откраднатите идентификационни данни са полезни само ако могат да бъдат използвани. Многослойните контроли за идентичност намаляват този риск значително:

• Многофакторно удостоверяване (MFA) за всички акаунти, с по-строги изисквания за удостоверяване за потребители с високи привилегии и ръководители
• Устойчиви на фишинг MFA методи като хардуерни ключове за сигурност или passkeys, които са свързани с легитимния домейн и не могат да бъдат прихванати от измамен сайт
• Блокиране на наследени протоколи за удостоверяване, които не поддържат MFA, елиминирайки често срещан маршрут за заобикаляне
• Политики за условен достъп, които маркират или блокират опити за влизане от неуправлявани устройства

За по-задълбочен контекст относно това как QR кодовете се пресичат с работните потоци за удостоверяване, вижте как QR кодовете опростяват многофакторното удостоверяване.

Защита на крайни точки и устройства

Управляваните устройства с актуална защита на крайните точки осигуряват критична предпазна мрежа:

• Внедряване на откриване и реакция на крайни точки (EDR) на всички управлявани устройства
• Активиране на проверки за репутация на браузъра (като Microsoft SmartScreen), които предупреждават потребителите, преди да достигнат до известен фишинг домейн
• Прилагане на политики за управление на мобилни устройства (MDM), които налагат базови нива на сигурност на телефони, използвани за сканиране на QR кодове за работа
• Ограничаване на изтеглянията от неуправлявани устройства в корпоративни мрежи

FTC съветва да поддържате операционните системи на устройствата актуални и да използвате силни, уникални пароли за всички акаунти като основна хигиена, която намалява въздействието на всеки успешен опит за фишинг.

Обучение и осведоменост на служителите

Вашите служители са най-пряката линия на защита срещу куишинг, а обучението трябва да бъде изрично – общата осведоменост за фишинг не се прехвърля автоматично към заплахите от QR кодове.

Ефективните програми за обучение обхващат:

• Защо QR кодовете са опасни: дестинацията е скрита до след сканирането
• Червени флагове в имейли, съдържащи QR кодове: спешност, общи поздрави, непоискани съобщения от известни марки и искания за данни за вход
• Признаци за физическа манипулация: кодове, залепени като стикери върху печатни материали, кодове върху неофициални табели
• Навици за проверка: ако QR код пристигне в неочакван имейл, свържете се с подателя чрез известен телефонен номер или официален уебсайт, вместо да сканирате кода
• Проверка на URL: след сканиране проверете URL адреса в адресната лента на браузъра, преди да въведете каквито и да е данни – търсете правописни грешки, разменени букви или непознати домейни

Министерството на здравеопазването и човешките услуги на САЩ препоръчва обучение на крайните потребители да поддържат здравословна степен на скептицизъм и да разпознават индикатори като подозрителни адреси на податели, фалшиви връзки и неправилна граматика – всички от които се появяват в QR-базирани фишинг кампании, както и в текстово-базирани такива.

Провеждайте симулирани куишинг упражнения наред със стандартните фишинг симулации. Насочете се към високорискови групи – ръководители, финансови екипи и всеки с административни привилегии – с по-чести и реалистични сценарии.

За по-широк поглед върху най-добрите практики за сигурност на QR кодовете в киберзащитата, включително криптиране и сдвояване за удостоверяване, това ръководство обхваща техническите контроли по-подробно.

Докладване и реакция при инциденти

Служителите се нуждаят от ясен и лесен начин за докладване на подозрителни QR кодове – както в имейли, така и във физически пространства. Бутон за докладване на фишинг в имейл клиентите премахва затрудненията при дигиталните доклади. За физически кодове предоставете указания как да се маркират и снимат подозрителни стикери или манипулирани материали.

Вашият план за реакция при инциденти трябва конкретно да адресира сценарии за "куишинг" с дефинирани стъпки:

• Изолирайте всеки акаунт, който може да е подал идентификационни данни чрез злонамерен QR код
• Отменете активните сесии и незабавно нулирайте паролите
• Проверете за неоторизиран достъп или движение на данни в прозореца между сканирането и отговора
• Уведомете засегнатите лица съгласно вашата политика за уведомяване при пробив
• Проведете преглед след инцидента, за да установите как QR кодът е заобиколил съществуващите контроли

Извършете тестове за проникване, които включват сценарии за "куишинг", за да откриете пропуски, преди нападателите да го направят.

QR кодове, които вашият бизнес използва: Защита на вашите собствени кодове

Предотвратяването на "куишинг" също означава да се гарантира, че QR кодовете, които вашият бизнес публикува, не могат да бъдат използвани като оръжие срещу вашите клиенти или служители.

Използвайте динамични QR кодове вместо статични. Статичните кодове постоянно кодират целеви URL адрес. Ако тази дестинация някога бъде компрометирана, кодът се превръща в пасив, който не можете да поправите без препечатване. Динамични QR кодове сочат към кратък URL адрес за пренасочване, който контролирате – можете да актуализирате дестинацията, да пренасочите към нова страница или да деактивирате кода изцяло от табло за управление, без да докосвате печатния материал.

Дръжте публикуваните си QR кодове под контрол Ако подозирате, че един от вашите разгърнати кодове е бил манипулиран или сочи към опасно място, можете да го актуализирате или деактивирате незабавно. Използвайте Динамичен QR код генератор за да управлявате всичките си кодове от централизирано табло за управление с анализи на сканиранията в реално време.

Прилагайте последователно брандиране към вашите кодове. Седемдесет и един процента от хората не могат надеждно да различат фалшив QR код от легитимен. Брандираните QR кодове – с вашето лого, фирмени цветове и персонализиран домейн в целевия URL адрес – дават на потребителите визуален сигнал, че кодът е автентичен. Общите черно-бели QR кодове с непрозрачни кратки URL адреси не предоставят такава гаранция.

Наблюдавайте анализите на сканиранията за аномалии. Динамичните QR кодове събират данни от сканиране, включително времеви клейма, типове устройства и географски местоположения. Внезапен скок в сканиранията от неочаквани региони или активност на сканиране извън нормалното работно време може да показва, че един от вашите кодове е бил копиран и злонамерено разпространен. Таблото за анализи на Pageloot извежда тези модели, за да можете да разследвате и реагирате бързо.

За подробен преглед на това какви данни от сканиране събират вашите кодове и как да ги интерпретирате отговорно, вижте разбиране на какви данни проследяват вашите динамични QR кодове.

Провеждайте редовни физически одити. За всички QR кодове, изложени на обществени или полуобществени места – маси в ресторанти, табели за събития, дисплеи на превозни средства или витрини на магазини – физически проверявайте кодовете по редовен график. Търсете стикери, поставени върху оригиналния код, и тествайте дестинацията на всеки код, преди клиентите да се сблъскат с него.

Използвайте изключително HTTPS дестинации. Всеки URL адрес, към който водят вашите QR кодове, трябва да използва HTTPS. Изпращането на потребители към некриптирана HTTP дестинация подкопава доверието и излага данните по време на пренос.

За допълнителни насоки относно рискове за поверителността на QR кодовете и как да ги избегнете, включително как да балансирате анализите с поверителността на потребителите, този ресурс обхваща съображенията за данни, които предприятията често пренебрегват.

Оценка на инструменти за откриване

Обучението на служителите и контролите на платформата адресират значителна част от риска, но специализираните инструменти за откриване добавят още един слой – особено за организации с голям обем имейли или сложни внедрявания на QR кодове. Ако оценявате опции, инструменти, предназначени за откриване на фишинг с QR кодове варират от платформи за поведенчески анализи за предприятия до добавки за имейл шлюзове и мобилни приложения за сканиране с вградени проверки на репутацията.

Правилната комбинация зависи от съществуващия ви стек за сигурност, обема на QR кодовете, които получавате спрямо тези, които разполагате, и дали физическата манипулация е значителна грижа за вашите местоположения. Куишингът не е хипотетична заплаха. Той представлява значителен дял от реалната фишинг активност, заобикаля контролите, които повечето организации вече имат, и непропорционално е насочен към бизнесите и потребителите, които са най-малко подготвени да го разпознаят. Затварянето на тази празнина изисква целенасочени действия в областта на имейл сигурността, контролите за идентичност, обучението на служителите и QR кодовете, които сами публикувате.

Започнете с контролите, които можете да приложите незабавно – MFA, осведоменост на служителите и преминаване на публикуваните ви кодове към динамично управление – след това изградете многослойна защита, която прави куишинг атаките постоянно неуспешни срещу вашата организация.

Често задавани въпроси