Kako zaštititi svoje poslovanje od prevara s QR kodovima

1. Stavljaju li QR kodovi vaše poslovanje u rizik? Lažni QR kodovi sve su češći alat kibernetičkih kriminalaca koji ciljaju tvrtke svih veličina – a većina zaposlenika ne zna kako ih prepoznati. Ovaj vodič objašnjava kako funkcioniraju prevare s QR kodovima, koje znakove upozorenja treba tražiti i koje specifične korake vaše poslovanje može poduzeti kako bi ostalo zaštićeno.

2. Zašto su prevare s QR kodovima rastuća prijetnja poslovanju

3. QR kodovi postali su rutinski dio poslovanja – plaćanja, jelovnici, marketinški materijali, prijave za događaje i još mnogo toga. Ta je poznatost upravo ono što ih čini privlačnima kriminalcima.

4. Ova vrsta napada poznata je kao 5. quishing 6. (phishing putem QR koda). Prevaranti stvaraju ili mijenjaju QR kodove kako bi preusmjerili ljude na lažne web stranice dizajnirane za krađu vjerodajnica za prijavu, podataka o plaćanju ili drugih osjetljivih podataka – ili za tiho instaliranje zlonamjernog softvera na njihov uređaj.

7. Razmjeri su značajni. Između svibnja i srpnja 2023., kampanja phishinga putem QR koda usmjerena na Microsoftove vjerodajnice porasla je za više od 2.400%. Analiza trendova između Q4 2023. i Q1 2024. otkrila je porast od 433% u referencama na phishing putem QR koda. Izvršni direktori su posebno ugroženi, primajući 42 puta više napada putem QR koda od ostalih zaposlenika zbog šireg pristupa resursima tvrtke.

8. Nijedna industrija nije imuna. Energetika, proizvodnja, osiguranje, tehnologija i financijske usluge bile su mete u dokumentiranim kampanjama. Jedan zaposlenik koji skenira pogrešan kod može otvoriti vrata krađi vjerodajnica, financijskoj prijevari ili potpunom proboju mreže.

9. Kako prevare s QR kodovima ciljaju poduzeća

10. Razumijevanje metoda koje kriminalci koriste prvi je korak prema izgradnji učinkovite obrane. Quishing napadi općenito slijede jedan od nekoliko obrazaca:

11. Phishing e-poruke s ugrađenim QR kodovima. 12. Napadači šalju e-poruke koje sadrže QR kodove koji primatelje usmjeravaju na uvjerljive lažne stranice za prijavu – često oponašajući Microsoft 365, bankovne portale ili interne sustave. Budući da je zlonamjerna veza skrivena unutar slike, a ne upisana kao tekst, mnogi filtri e-pošte za sigurnost je ne uspijevaju uhvatiti.

13. Fizička zamjena koda. 14. Kriminalci ispisuju lažne naljepnice s QR kodovima i postavljaju ih preko legitimnih kodova na natpisima, terminalima za plaćanje, jelovnicima, parkirnim automatima ili pakiranju proizvoda. Žrtve skeniraju ono što se čini kao službeni kod i preusmjeravaju se na lažnu stranicu. U Austinu u Teksasu, policija je otkrila 29 lažnih QR kodova postavljenih na gradskim parkirnim automatima. U Yorku, UK, 15. lažni QR kodovi na parkirnim oznakama preusmjeravali su vozače na klonirane stranice za plaćanje, pri čemu su neke žrtve izgubile do 400 funti., with some victims losing up to £400.

Nepoželjni paketi i pošta. Služba za inspekciju pošte Sjedinjenih Država upozorava da prevaranti šalju neočekivane pakete koji sadrže male darove uz QR kodove, tražeći od primatelja da skeniraju kod kako bi “registrirali” predmet. Skeniranje vodi na lažnu stranicu koja traži osobne ili financijske podatke.

Lažno predstavljanje pouzdanih organizacija. Napadači se prerušavaju u vladine agencije, banke, dostavne službe ili druge poznate tvrtke kako bi stvorili hitnost i smanjili oprez mete prije skeniranja QR koda.

Znakovi upozorenja za lažni QR kod

Ne postoji pouzdana vizualna razlika u samom QR uzorku koja dosljedno razlikuje zlonamjerni kod od legitimnog. Umjesto toga, vaš tim treba procijeniti kontekst i ponašanje oko koda. Obučite zaposlenike da sljedeće smatraju znakovima upozorenja:

• Znakovi fizičke manipulacije: Kod se pojavljuje kao naljepnica, zalijepljen je, izgleda izgreban ili pikseliziran, pogrešno je poravnat ili je jasno postavljen preko drugog ispisanog koda.
• Nema jasnog konteksta ili brendiranja: Kod se pojavljuje na nasumičnoj površini, nema objašnjenja svoje svrhe ili mu nedostaje dosljedno brendiranje organizacije koju tvrdi da predstavlja.
• Hitan jezik ili jezik visokog pritiska: Okolni tekst zahtijeva hitnu akciju, plaćanje ili prijavu bez jasnog legitimnog razloga.
• Nedosljednosti u brendiranju: Pogreške u pisanju, neusklađeni logotipi, neobične boje ili dizajn koji ne odgovara uobičajenom izgledu organizacije.
• Sumnjiv URL za pregled: Nakon skeniranja, prikazani URL ne odgovara očekivanoj domeni, skraćen je, pogrešno napisan ili mu nedostaje HTTPS (nema ikone lokota u pregledniku).
• Neočekivani zahtjevi za osjetljivim informacijama: Stranica traži lozinke, podatke o plaćanju ili osobne podatke bez jasnog, očekivanog razloga.
• Neželjena dostava: QR kod je stigao u e-poruci, tekstualnoj poruci ili paketu koji niste očekivali – posebno s porukom koja vas potiče da brzo djelujete.

Za dublji uvid u prepoznavanje kompromitiranih kodova, vodič za najbolje prakse sigurnosti QR kodova u kibernetičkoj obrani detaljno pokriva detekciju i odgovor na incidente.

Kako zaštititi svoje poslovanje: Praktična kontrolna lista

Zaštita vaše organizacije od prevara s QR kodovima zahtijeva višeslojnu obranu – nijedna pojedinačna mjera nije dovoljna sama po sebi. FBI preporučuje višeslojnu strategiju koja kombinira edukaciju zaposlenika, tehničke kontrole, snažnu autentifikaciju i kontinuirano praćenje.

Obučite zaposlenike da prepoznaju 'quishing'

Ljudska pogreška ostaje najiskorištenija ranjivost u napadima na QR kodove. Redovita, praktična obuka trebala bi pokrivati:

• Nikada ne skenirati QR kodove iz neočekivanih e-poruka, tekstualnih poruka, paketa ili letaka – čak i ako se čini da dolaze iz pouzdanog izvora
• Uvijek pregledati URL prije otvaranja nakon skeniranja i provjeriti ima li pogrešaka u pisanju, nepodudarnih domena ili nedostajućeg HTTPS-a
• Fizički pregledati QR kodove na radnom mjestu radi znakova manipulacije, posebno na terminalima za plaćanje, natpisima ili tiskanim materijalima
• Provjeriti izvor QR koda putem zasebnog, pouzdanog kanala prije unosa bilo kakvih vjerodajnica ili podataka o plaćanju
• Odmah prijaviti sve sumnjive QR kodove putem jasnog internog procesa eskalacije

FBI posebno preporučuje uspostavljanje formalnih internih protokola za prijavljivanje sumnjivih kodova kako bi se incidenti mogli brzo eskalirati i riješiti.

Implementirajte snažnu autentifikaciju i kontrole pristupa

Akreditivi ukradeni putem quishing napada mogu uzrokovati ozbiljnu štetu samo ako omogućuju nekontrolirani pristup. FBI i tijela za kibernetičku sigurnost preporučuju:

• Zahtijevanje višefaktorske autentifikacije (MFA) otporne na phishing za sav daljinski pristup i osjetljive sustave
• Primjena kontrola pristupa temeljenih na ulogama tako da zaposlenici mogu pristupiti samo sustavima i podacima relevantnim za njihovu ulogu
• Razmatranje strategije nultog povjerenja koja kontinuirano provjerava zahtjeve za pristup umjesto da daje opće povjerenje mreži

Održavajte sustave i softver ažuriranima

Tehničke zaštitne mjere smanjuju površinu napada dostupnu kriminalcima. Osigurajte da vaša organizacija održava:

• Ažurirane operativne sustave, antivirusni softver i sigurnosne zakrpe na svim uređajima
• Aktivne filtre za neželjenu poštu i web na sustavima e-pošte i mreže
• Snažne zahtjeve za lozinke na svim računima

FTC savjetuje ažuriranje operativnih sustava telefona posebno radi zaštite od zlonamjernog softvera isporučenog putem QR koda.

Osigurajte QR kodove koje vaša tvrtka stvara i implementira

Vaši vlastiti QR kodovi mogu postati vektori za prijevaru ako se njima ne upravlja pravilno. Preuzimanje kontrole nad vašim kodovima jedan je od najizravnijih načina zaštite i vaših kupaca i vašeg ugleda.

Koristite dinamičke QR kodove umjesto statičkih. Za razliku od statičkih kodova, dinamični QR kodovi mogu se uređivati, nadzirati i deaktivirati nakon što su ispisani. Ako je kod neovlašteno mijenjan ili preusmjeren na zlonamjerno odredište, možete ga ažurirati ili onemogućiti bez ponovnog ispisa. Statički kodovi su, nasuprot tome, trajni – ako je odredište kompromitirano, nema načina da se to ispravi.

Primijenite prilagođeno brendiranje na svaki kod. Kodove s vašim logotipom, bojama brenda i vizualnim identitetom kriminalci znatno teže uvjerljivo repliciraju. Brendirani kodovi također daju kupcima i zaposlenicima vizualnu referentnu točku – ako kod ne izgleda ispravno, ističe se. Ovo je ključna preporuka iz sigurne najbolje prakse generiranja QR koda.

Uvijek povežite na HTTPS odredišta. Osigurajte da svaki QR kod koji objavite vodi na stranicu s valjanim SSL certifikatom. Izbjegavajte HTTP odredišta za bilo koji kod koji se koristi za plaćanja, prijave ili prikupljanje podataka.

Nadzirite aktivnost skeniranja za anomalije. Analitika u stvarnom vremenu omogućuje vam uočavanje neobičnih obrazaca – iznenadnih skokova volumena skeniranja, geografskih anomalija ili neočekivanih vrsta uređaja – što može ukazivati na to da je kod kompromitiran ili zamijenjen. Alati za praćenje QR koda može vas upozoriti na ove signale prije nego što nastane značajna šteta.

Redovito fizički pregledavajte postavljene kodove. Zakažite rutinske provjere svih QR kodova prikazanih na javnim mjestima. Fotografirajte svaki kod kada je prvi put postavljen kako biste imali referencu za usporedbu. Potražite znakove preklapajućih naljepnica, neusklađenosti ili neovlaštenog mijenjanja.

Zaštitite svoje kodove praćenjem u stvarnom vremenu Želite otkriti sumnjivu aktivnost skeniranja prije nego što postane ozbiljan problem? Koristite Dinamični QR kod generator za stvaranje kodova koji se mogu uređivati i pratiti s ugrađenom analitikom – i odmah ažurirajte ili onemogućite bilo koji kod ako nešto izgleda pogrešno.

Zaštitite svoje kupce na mjestu skeniranja

Ako vaše poslovanje prikazuje QR kodove za plaćanja, jelovnike ili interakcije s klijentima, poduzmite korake kako biste pomogli klijentima da provjere skeniraju li legitiman kod:

• Prikažite jasne upute pored svakog koda objašnjavajući čemu služi i koje će informacije klijenti biti zamoljeni da pruže
• Dodajte vidljivo brendiranje i naziv domene kako bi klijenti mogli provjeriti odredište prije interakcije
• Omogućite alternativnu metodu pristupa istim informacijama (izravan URL, ispisani jelovnik itd.) kako klijenti nikada ne bi bili prisiljeni skenirati ako su nesigurni
• Postavite vidljive obavijesti koje potiču klijente da prijave sumnjive kodove vašem timu

Za više o smanjenju rizika QR kodova u kontekstu plaćanja, uključujući smjernice specifične za industriju za maloprodaju i e-trgovinu, pogledajte namjenski vodič za sigurnost plaćanja.

Kada se dogodi incident: Što učiniti

Ako zaposlenik ili klijent prijavi potencijalno kompromitiran QR kod, djelujte odmah:

• Onemogućite ili ažurirajte zahvaćeni dinamički QR kod tako da više ne usmjerava na zlonamjerno odredište
• Dokumentirajte incident i sačuvajte dokaze za istragu
• Obavijestite pogođene strane kako bi mogle pratiti račune i promijeniti lozinke
• Prijavite incident relevantnim vlastima – Centru za pritužbe na internetski kriminal FBI-a (IC3) za kibernetičke prijevare povezane s poslovanjem, i FTC-u za prijevare usmjerene na potrošače
• Pregledajte svoje druge postavljene kodove kako biste provjerili slične manipulacije

Imati plan odgovora na incidente prije nego što nešto pođe po zlu daleko je manje skupo nego improvizirati pod pritiskom.

Često postavljana pitanja