Phishing putem QR koda: Kako zaštititi svoje poslovanje

Koristi li vaše poslovanje QR kodove, a da ne znate koji su od njih neovlašteno mijenjani? Phishing putem QR kodova – obično nazvan “quishing” – pretvara svakodnevnu pogodnost u zamku za krađu vjerodajnica, a tradicionalni sigurnosni filtri često ga u potpunosti propuštaju. Ovaj vodič pokriva kako ti napadi funkcioniraju, koliko koštaju poduzeća i koje specifične kontrole možete postaviti da ih zaustavite.

Kako funkcionira phishing putem QR kodova

Phishing putem QR kodova iskorištava temeljnu slabost: QR kodovi nisu čitljivi ljudima. Kod tradicionalnog URL-a, uvježbano oko često može uočiti lažnu domenu ili sumnjiv niz. QR kod sve to skriva. Kako objašnjava Alex Mosher, globalni potpredsjednik MobileIrona:

“QR kodovi inherentno skrivaju svoje odredište. Stoga je mogućnost izmjene QR koda da upućuje na alternativni resurs bez otkrivanja jednostavna i vrlo učinkovita.”

Napadači ugrađuju zlonamjerne URL-ove unutar QR kodova koji preusmjeravaju žrtve na lažne stranice za prijavu dizajnirane za prikupljanje vjerodajnica ili na stranice koje pokreću preuzimanje zlonamjernog softvera. Problem pogoršava činjenica da mnogi sustavi za sigurnost e-pošte ne mogu dekodirati slike QR kodova – oni vide sliku, a ne poveznicu – pa se zlonamjerni sadržaj provlači kroz filtre koji bi uhvatili običan phishing URL.

U 2023. godini, phishing putem QR kodova činio je 22% svih phishing napada. Jedna velika quishing kampanja narasla je za 2.400% u samo nekoliko mjeseci, a analiza operacije usmjerene na korporacije otkrila je da je otprilike 29% zlonamjernih e-poruka sadržavalo QR kodove.

Gdje napadači postavljaju zlonamjerne QR kodove

Napadi putem e-pošte i dokumenata su najčešća metoda isporuke. Napadači ugrađuju QR kodove unutar PDF ili Word privitaka kako bi zaobišli sigurnosne filtre e-pošte. U 2023. godini, 82% quishing napada oponašalo je pouzdane marke – Microsoft je bio meta u 51% zabilježenih slučajeva, slijedi DocuSign s 31% i Adobe s 15%. Između sredine 2024. i kraja 2024., istraživači su otkrili preko 500.000 phishing e-poruka koje su sadržavale QR kodove ugrađene u PDF-ove.

Fizička manipulacija jednako je opasna. Napadači postavljaju lažne naljepnice s QR kodovima preko legitimnih kodova na lokacijama s velikim prometom – restoranima, parkirnim automatima, zračnim lukama i maloprodajnim prostorima. U San Franciscu su kriminalci postavili lažne QR kodove na parkirne karte koji su korisnike usmjeravali na lažnu stranicu za prijevoz dizajniranu za krađu podataka o kreditnim karticama. Uprava za socijalno osiguranje posebno upozorava da legitimni QR kodovi na službenim oznakama obično nisu naljepnice; kod primijenjen kao naljepnica treba smatrati sumnjivim.

Mamci socijalnog inženjeringa upotpunjuju sliku. Žrtve se potiču da skeniraju QR kod kako bi ostvarile popust, povezale se na besplatni Wi-Fi ili ispunile anketu. U jednom dokumentiranom slučaju u Singapuru, žena je skenirala kod u trgovini bubble tea-a očekujući nagradu za vjernost. Umjesto toga, zlonamjerna aplikacija preuzeta je na njezin telefon, a napadači su joj ispraznili 2.000 dolara s bankovnog računa.

Koliko ti napadi koštaju poduzeća

Krađa vjerodajnica i podataka

Gotovo 90% quishing napada posebno je dizajnirano za krađu vjerodajnica za prijavu i osjetljivih podataka. Napadači preusmjeravaju žrtve na uvjerljive replike Microsoft 365, SharePointa ili bankovnih portala. Rukovoditelji su nesrazmjerno često meta jer njihove vjerodajnice otključavaju kritične sustave i povlaštene podatke.

Osobni uređaji pogoršavaju situaciju. Kada zaposlenici skeniraju QR kodove na telefonima koji nisu uključeni u upravljanje poduzećem, IT timovi nemaju uvid u to što se dogodilo ili čemu se pristupilo.

Financijski gubici

Prosječni trošak povrede podataka dosegao je 4,45 milijuna dolara u 2023. godini, pri čemu su prijevare kompromitiranja poslovne e-pošte (Business Email Compromise) u prosjeku iznosile 4,89 milijuna dolara – prije uračunavanja regulatornih kazni i pravnih troškova. Izravni gubici od krađe identiteta (phishinga) porasli su za 76% u odnosu na prethodnu godinu. Pojedinačni incidenti ilustriraju razmjere: prijevara na željezničkoj stanici u Ujedinjenom Kraljevstvu ostavila je jednu žrtvu s dugom od 13.000 funti; obitelj iz Calgaryja izgubila je 10.000 dolara zbog prijevare s QR kodom na Facebook Marketplaceu.

Mala poduzeća snose nerazmjerno velik dio štete. U Ujedinjenom Kraljevstvu, mala poduzeća suočavaju se s procijenjenih 65.000 kibernetičkih napada dnevno, s prosječnim troškom rješavanja uspješnog napada od oko 33.700 dolara.

Operativni poremećaji i šteta ugledu

Ukradeni podaci za prijavu često služe kao ulazna točka za implementaciju ransomwarea. U 2023. godini, organizacije su potrošile prosječno 1,82 milijuna dolara na oporavak od incidenata s ransomwareom. Građevinske i inženjerske tvrtke suočavaju se s rizikom napada QR kodom 19,2 puta većim od prosjeka; tvrtke za profesionalne usluge suočavaju se s rizikom 18,5 puta većim.

Osim operativnog zastoja, poduzeća se suočavaju s odljevom kupaca, višim premijama osiguranja za kibernetičku sigurnost i regulatornim nadzorom kada su podaci kupaca izloženi. Ponovna izgradnja povjerenja nakon povrede traje mnogo dulje od samog rješavanja tehničkog incidenta.

Kako spriječiti krađu identiteta putem QR kodova: Slojeviti pristup

Nijedna pojedinačna kontrola ne eliminira "quishing". Dosljedna preporuka sigurnosnih istraživača, saveznih agencija i timova za sigurnost poduzeća je slojevita obrana koja kombinira filtriranje e-pošte, kontrole identiteta, zaštitu krajnjih točaka, obuku zaposlenika i radne procese izvještavanja.

Kontrole sigurnosti e-pošte

Konfigurirajte sustave sigurnosti e-pošte s mogućnostima koje nadilaze standardno skeniranje veza. Učinkovite kontrole uključuju:

• Filtriranje s mogućnošću OCR-a (optičkog prepoznavanja znakova) koje dekodira slike QR kodova unutar e-pošte i analizira ugrađeni URL u odnosu na obavještajne podatke o prijetnjama
• Politike protiv krađe identiteta (anti-phishing) prilagođene za označavanje sadržaja temeljenog na slikama, posebno QR kodova ugrađenih u privitke PDF ili Office dokumenata
• Stroga pravila spam gatewaya koja neželjene QR kodove u e-pošti prema zadanim postavkama tretiraju kao visokorizične

Posebno za okruženja Microsoft 365, Microsoft Defender za Office 365 uključuje dekodiranje slika QR kodova za otkrivanje ugrađenih URL-ova za provjeru reputacije i evaluaciju sigurnih veza (Safe Links).

Kontrole identiteta i pristupa

Ukradeni podaci za prijavu korisni su samo ako se mogu koristiti. Višeslojne kontrole identiteta značajno smanjuju taj rizik:

• Višefaktorska provjera autentičnosti (MFA) na svim računima, s jačim zahtjevima za provjeru autentičnosti za korisnike s visokim privilegijama i rukovoditelje
• MFA metode otporne na krađu identiteta kao što su hardverski sigurnosni ključevi ili pristupni ključevi (passkeys), koji su vezani za legitimnu domenu i ne mogu biti presretnuti od strane lažne stranice
• Blokiranje zastarjelih protokola za provjeru autentičnosti koji ne podržavaju MFA, eliminirajući uobičajenu zaobilaznicu
• Pravila uvjetnog pristupa koja označavaju ili blokiraju pokušaje prijave s neupravljanih uređaja

Za dublji kontekst o tome kako se QR kodovi presijecaju s radnim tokovima provjere autentičnosti, pogledajte kako QR kodovi pojednostavljuju višefaktorsku autentifikaciju.

Zaštita krajnjih točaka i uređaja

Upravljani uređaji s ažurnom sigurnošću krajnjih točaka pružaju ključnu sigurnosnu mrežu:

• Implementirajte detekciju i odgovor krajnjih točaka (EDR) na svim upravljanim uređajima
• Omogućite provjere reputacije preglednika (kao što je Microsoft SmartScreen) koje upozoravaju korisnike prije nego što dođu do poznate domene za krađu identiteta
• Primijenite pravila upravljanja mobilnim uređajima (MDM) koja nameću sigurnosne osnove na telefonima koji se koriste za skeniranje QR kodova za posao
• Ograničite preuzimanja s neupravljanih uređaja na korporativnim mrežama

FTC savjetuje održavanje ažurnih operativnih sustava uređaja i korištenje jakih, jedinstvenih lozinki za sve račune kao temeljnu higijenu koja smanjuje utjecaj svakog uspješnog pokušaja krađe identiteta.

Obuka i svijest zaposlenika

Vaši su zaposlenici najizravnija linija obrane od "quishinga", a obuka mora biti eksplicitna – opća svijest o krađi identiteta ne prenosi se automatski na prijetnje QR kodovima.

Učinkoviti programi obuke pokrivaju:

• Zašto su QR kodovi opasni: odredište je skriveno do nakon skeniranja
• Upozoravajući znakovi u e-porukama koje sadrže QR kodove: hitnost, generički pozdravi, neželjene poruke poznatih marki i zahtjevi za vjerodajnicama za prijavu
• Znakovi fizičke manipulacije: kodovi primijenjeni kao naljepnice preko tiskanih materijala, kodovi na neslužbenim natpisima
• Navike provjere: ako QR kod stigne u neočekivanoj e-poruci, kontaktirajte pošiljatelja putem poznatog telefonskog broja ili službene web stranice umjesto skeniranja koda
• Provjera URL-a: nakon skeniranja, provjerite URL u adresnoj traci preglednika prije unosa bilo kakvih vjerodajnica – potražite pogreške u pisanju, zamijenjena slova ili nepoznate domene

Američko Ministarstvo zdravstva i socijalnih usluga preporučuje obuku krajnjih korisnika da zadrže zdravu dozu skepticizma i prepoznaju pokazatelje kao što su sumnjive adrese pošiljatelja, lažne poveznice i nepravilna gramatika – sve to se pojavljuje u kampanjama krađe identiteta temeljenim na QR kodovima, baš kao i u onima temeljenim na tekstu.

Provodite simulirane "quishing" vježbe uz standardne simulacije krađe identiteta. Ciljajte visokorizične skupine – rukovoditelje, financijske timove i sve s administrativnim privilegijama – s češćim i realističnijim scenarijima.

Za širi pregled najboljih praksi sigurnosti QR kodova u kibernetičkoj obrani, uključujući enkripciju i uparivanje autentifikacije, taj vodič detaljnije pokriva tehničke kontrole.

Izvještavanje i odgovor na incidente

Zaposlenici trebaju jasan način s malo prepreka za prijavu sumnjivih QR kodova – kako u e-pošti tako i u fizičkim prostorima. Gumb za prijavu krađe identiteta u klijentima e-pošte uklanja prepreke za digitalne prijave. Za fizičke kodove, pružite smjernice kako označiti i fotografirati sumnjive naljepnice ili manipulirane materijale.

Vaš plan odgovora na incidente trebao bi se specifično baviti scenarijima "quishinga" s definiranim koracima:

• Izolirajte svaki račun koji je možda poslao vjerodajnice putem zlonamjernog QR koda
• Odmah opozovite aktivne sesije i resetirajte lozinke
• Provjerite neovlašteni pristup ili premještanje podataka u razdoblju između skeniranja i odgovora
• Obavijestite pogođene pojedince u skladu s vašom politikom obavještavanja o povredi podataka
• Provedite pregled nakon incidenta kako biste identificirali kako je QR kod zaobišao postojeće kontrole

Provedite penetracijsko testiranje koje uključuje scenarije "quishinga" kako biste pronašli propuste prije nego što to učine napadači.

QR kodovi koje vaša tvrtka koristi: Osiguravanje vlastitih kodova

Sprječavanje "quishinga" također znači osiguravanje da se QR kodovi koje vaša tvrtka objavljuje ne mogu koristiti kao oružje protiv vaših kupaca ili zaposlenika.

Koristite dinamičke QR kodove umjesto statičkih. Statički kodovi trajno kodiraju odredišni URL. Ako to odredište ikada bude kompromitirano, kod postaje obveza koju ne možete popraviti bez ponovnog ispisa. Dinamički QR kodovi upućuju na kratki URL za preusmjeravanje koji kontrolirate – možete ažurirati odredište, preusmjeriti na novu stranicu ili potpuno onemogućiti kod s upravljačke ploče bez dodirivanja tiskanog materijala.

Držite svoje objavljene QR kodove pod kontrolom Ako sumnjate da je jedan od vaših postavljenih kodova neovlašteno mijenjan ili upućuje na nesigurno mjesto, možete ga odmah ažurirati ili onemogućiti. Koristite Dinamični QR kod generator za upravljanje svim vašim kodovima s centralizirane nadzorne ploče s analitikom skeniranja u stvarnom vremenu.

Primijenite dosljedno brendiranje na svoje kodove. Sedamdeset i jedan posto ljudi ne može pouzdano razlikovati lažni QR kod od legitimnog. Brendirani QR kodovi – s vašim logotipom, bojama tvrtke i prilagođenom domenom u odredišnom URL-u – daju korisnicima vizualni signal da je kod autentičan. Generički crno-bijeli QR kodovi s neprozirnim kratkim URL-ovima ne pružaju takvo jamstvo.

Pratite analitiku skeniranja za anomalije. Dinamički QR kodovi prikupljaju podatke o skeniranju uključujući vremenske oznake, vrste uređaja i geografske lokacije. Iznenadni skok u skeniranjima iz neočekivanih regija, ili aktivnost skeniranja izvan uobičajenog radnog vremena, može ukazivati na to da je jedan od vaših kodova zlonamjerno kopiran i redistribuiran. Pagelootova analitička nadzorna ploča prikazuje ove obrasce kako biste mogli brzo istražiti i reagirati.

Za detaljan pregled podataka o skeniranju koje vaši kodovi prikupljaju i kako ih odgovorno tumačiti, pogledajte razumijevanje koje podatke prate vaši dinamički QR kodovi.

Provodite redovite fizičke revizije. Za sve QR kodove prikazane na javnim ili polujavnim mjestima – stolovi u restoranima, signalizacija događaja, zasloni vozila ili izlozi trgovina – fizički pregledajte kodove prema redovitom rasporedu. Potražite naljepnice postavljene preko izvornog koda i testirajte odredište svakog koda prije nego što ga kupci susretnu.

Koristite isključivo HTTPS odredišta. Svaki URL na koji se vaši QR kodovi povezuju trebao bi koristiti HTTPS. Slanje korisnika na nešifrirano HTTP odredište potkopava povjerenje i izlaže podatke u tranzitu.

Za dodatne smjernice o rizika privatnosti QR kodova i kako ih izbjeći, uključujući kako uravnotežiti analitiku s privatnošću korisnika, taj resurs pokriva razmatranja podataka koje tvrtke često zanemaruju.

Procjena alata za otkrivanje

Obuka zaposlenika i kontrole platforme rješavaju značajan dio rizika, ali namjenski alati za otkrivanje dodaju još jedan sloj – posebno za organizacije s velikim volumenom e-pošte ili složenim implementacijama QR kodova. Ako procjenjujete opcije, alati dizajnirani za otkrivanje krađe identiteta putem QR kodova kreću se od platformi za analizu ponašanja poduzeća do dodataka za pristupnike e-pošte i mobilnih aplikacija za skeniranje s ugrađenim provjerama reputacije.

Prava kombinacija ovisi o vašem postojećem sigurnosnom sustavu, volumenu QR kodova koje primate u odnosu na one koje implementirate, te je li fizičko neovlašteno mijenjanje značajna briga za vaše lokacije. Quishing nije hipotetska prijetnja. On čini značajan udio stvarne aktivnosti krađe identiteta, zaobilazi kontrole koje većina organizacija već ima na mjestu i nerazmjerno cilja tvrtke i korisnike koji su najmanje opremljeni da ga prepoznaju. Zatvaranje tog jaza zahtijeva namjerno djelovanje u području sigurnosti e-pošte, kontrola identiteta, obuke zaposlenika i QR kodova koje sami objavljujete.

Započnite s kontrolama koje možete odmah implementirati – MFA, svijest zaposlenika i prebacivanje vaših objavljenih kodova na dinamičko upravljanje – zatim gradite prema slojevitoj obrani koja čini quishing napade dosljedno neuspješnima protiv vaše organizacije.

Često postavljana pitanja