1. Ar QR kodai kelia pavojų jūsų verslui? Apgaulingi QR kodai yra vis dažniau kibernetinių nusikaltėlių naudojamas įrankis, nukreiptas į įvairaus dydžio įmones – ir dauguma darbuotojų nežino, kaip juos atpažinti. Šiame vadove paaiškinama, kaip veikia QR kodų sukčiavimas, kokių įspėjamųjų ženklų ieškoti ir kokių konkrečių veiksmų jūsų verslas gali imtis, kad išliktų apsaugotas.
2. Kodėl QR kodų sukčiavimas yra auganti verslo grėsmė
3. QR kodai tapo įprasta verslo dalimi – mokėjimai, meniu, rinkodaros medžiaga, renginių registracija ir dar daugiau. Būtent šis pažįstamumas daro juos patrauklius nusikaltėliams.
4. Šio tipo ataka žinoma kaip 5. „quishing“ 6. (QR kodų sukčiavimas). Sukčiai kuria arba klastoja QR kodus, kad nukreiptų žmones į apgaulingas svetaines, skirtas pavogti prisijungimo duomenis, mokėjimo informaciją ar kitus jautrius duomenis – arba slapta įdiegti kenkėjišką programinę įrangą jų įrenginyje.
7. Mastas yra reikšmingas. Nuo 2023 m. gegužės iki liepos mėn. QR kodų sukčiavimo kampanija, nukreipta į „Microsoft“ prisijungimo duomenis, išaugo daugiau nei 2 400%. 2023 m. IV ketvirčio ir 2024 m. I ketvirčio tendencijų analizė parodė 433% padidėjimą, kalbant apie QR kodų sukčiavimą. Vadovai yra ypač pažeidžiami, nes gauna 42 kartus daugiau QR kodų atakų nei kiti darbuotojai dėl platesnės prieigos prie įmonės išteklių.
8. Nė viena pramonės šaka nėra apsaugota. Energetikos, gamybos, draudimo, technologijų ir finansinių paslaugų sektoriai buvo nukreipti dokumentuotose kampanijose. Vienas darbuotojas, nuskaitęs netinkamą kodą, gali atverti duris prisijungimo duomenų vagystei, finansiniam sukčiavimui ar visam tinklo pažeidimui.
9. Kaip QR kodų sukčiavimas nukreiptas į verslą
10. Nusikaltėlių naudojamų metodų supratimas yra pirmas žingsnis kuriant veiksmingą gynybą. „Quishing“ atakos paprastai vyksta pagal vieną iš kelių modelių:
11. Sukčiavimo el. laiškai su įterptais QR kodais. 12. Puolėjai siunčia el. laiškus su QR kodais, kurie nukreipia gavėjus į įtikinamus netikrus prisijungimo puslapius – dažnai imituojančius „Microsoft 365“, bankininkystės portalus ar vidines sistemas. Kadangi kenkėjiška nuoroda yra paslėpta paveikslėlyje, o ne įvesta kaip tekstas, daugelis el. pašto saugumo filtrų jos neaptinka.
13. Fizinis kodo pakeitimas. 14. Nusikaltėliai spausdina apgaulingus QR kodų lipdukus ir užklijuoja juos ant teisėtų kodų ant iškabų, mokėjimo terminalų, meniu, parkomatų ar produktų pakuočių. Aukos nuskaito tai, kas atrodo kaip oficialus kodas, ir yra nukreipiamos į netikrą svetainę. Ostine, Teksase, policija aptiko 29 netikrus QR kodus, užklijuotus ant miesto parkomatų. Jorke, JK, 15. netikri QR kodai ant parkavimo ženklų nukreipė vairuotojus į klonuotas mokėjimo svetaines, o kai kurios aukos prarado iki 400 svarų sterlingų., with some victims losing up to £400.
Neprašyti siuntiniai ir laiškai. Jungtinių Valstijų pašto inspekcijos tarnyba įspėja, kad sukčiai siunčia netikėtus siuntinius su mažomis dovanėlėmis ir QR kodais, prašydami gavėjų nuskaityti kodą, kad “užregistruotų” prekę. Nuskenavus patenkama į suklastotą svetainę, kurioje prašoma asmeninės ar finansinės informacijos.
Patikimų organizacijų apsimetinėjimas. Puolėjai apsimeta vyriausybinėmis agentūromis, bankais, pristatymo tarnybomis ar kitomis gerai žinomomis įmonėmis, siekdami sukurti skubos jausmą ir sumažinti taikinio budrumą prieš nuskenuojant QR kodą.
Apgaulingo QR kodo įspėjamieji ženklai
Nėra patikimo vizualinio skirtumo pačiame QR kodo rašte, kuris nuosekliai atskirtų kenkėjišką kodą nuo teisėto. Vietoj to, jūsų komanda turi įvertinti kontekstą ir elgesį aplink kodą. Apmokykite darbuotojus į šiuos dalykus žiūrėti kaip į pavojaus signalus:
- Fizinio klastojimo požymiai: Kodas atrodo kaip lipdukas, yra priklijuotas lipnia juosta, atrodo subraižytas ar pikseliuotas, yra netinkamai išlygiuotas arba aiškiai uždėtas ant kito atspausdinto kodo.
- Nėra aiškaus konteksto ar prekės ženklo: Kodas atsiranda ant atsitiktinio paviršiaus, nėra paaiškinimo apie jo paskirtį arba trūksta nuoseklaus prekės ženklo iš organizacijos, kurią jis teigia atstovaujantis.
- Skubi ar didelio spaudimo kalba: Aplinkinis tekstas reikalauja nedelsiant imtis veiksmų, atlikti mokėjimą ar prisijungti be aiškios teisėtos priežasties.
- Prekės ženklo neatitikimai: Rašybos klaidos, neatitinkantys logotipai, neįprastos spalvos arba dizainas, neatitinkantis įprastos organizacijos išvaizdos.
- Įtartinas peržiūros URL: Nuskenavus, rodomas URL neatitinka numatyto domeno, yra sutrumpintas, parašytas su klaidomis arba neturi HTTPS (naršyklėje nėra spynos piktogramos).
- Netikėti prašymai pateikti slaptą informaciją: Puslapis prašo slaptažodžių, mokėjimo duomenų ar asmeninių duomenų be aiškios, numatytos priežasties.
- Neprašytas pristatymas: QR kodas atkeliavo el. paštu, tekstine žinute ar siuntoje, kurios nelaukėte – ypač su žinute, raginančia veikti greitai.
Norėdami giliau pažvelgti į pažeistų kodų identifikavimą, gerosios praktikos vadovas, skirtas QR kodų saugumui kibernetinėje gynyboje išsamiai aprašo aptikimą ir incidentų valdymą.
Kaip apsaugoti savo verslą: praktinis kontrolinis sąrašas
Norint apsaugoti savo organizaciją nuo QR kodų sukčiavimo, reikalingos daugiasluoksnės apsaugos priemonės – viena priemonė pati savaime nepakanka. FTB rekomenduoja daugiasluoksnę strategiją, kuri apima darbuotojų švietimą, technines kontrolės priemones, stiprų autentifikavimą ir nuolatinį stebėjimą.
Mokykite darbuotojus atpažinti „quishing“
Žmogaus klaida išlieka labiausiai išnaudojama pažeidžiamumo vieta QR kodų atakose. Reguliarūs, praktiniai mokymai turėtų apimti:
- Niekada neskenuoti QR kodų iš netikėtų el. laiškų, tekstinių žinučių, siuntų ar skrajučių – net jei atrodo, kad jie gauti iš patikimo šaltinio
- Visada peržiūrėti URL prieš atidarant jį po nuskaitymo ir patikrinti, ar nėra rašybos klaidų, neatitikimų domenų ar trūkstamo HTTPS
- Fiziškai apžiūrėti QR kodus darbo vietoje, ieškant klastojimo požymių, ypač ant mokėjimo terminalų, iškabų ar spausdintų medžiagų
- Patikrinti QR kodo šaltinį per atskirą, patikimą kanalą prieš įvedant bet kokius prisijungimo duomenis ar mokėjimo informaciją
- Nedelsiant pranešti apie bet kokius įtartinus QR kodus per aiškų vidinį eskalavimo procesą
FTB konkrečiai rekomenduoja nustatyti oficialius vidinius protokolus įtartinų kodų pranešimui, kad incidentai galėtų būti greitai eskaluojami ir sprendžiami.
Įdiekite stiprų autentifikavimą ir prieigos kontrolę
Per „quishing“ atakas pavogti prisijungimo duomenys gali sukelti rimtą žalą tik tuo atveju, jei jie suteikia nekontroliuojamą prieigą. FTB ir kibernetinio saugumo institucijos rekomenduoja:
- Reikalauti atsparaus sukčiavimui daugiafaktorinio autentifikavimo (MFA) visoms nuotolinėms prieigoms ir jautrioms sistemoms
- Taikyti vaidmenimis pagrįstą prieigos kontrolę, kad darbuotojai galėtų pasiekti tik su jų vaidmeniu susijusias sistemas ir duomenis
- Apsvarstyti nulinio pasitikėjimo strategiją, kuri nuolat tikrina prieigos užklausas, užuot suteikusi bendrą tinklo pasitikėjimą
Nuolat atnaujinkite sistemas ir programinę įrangą
Techninės apsaugos priemonės sumažina nusikaltėliams prieinamą atakos paviršių. Užtikrinkite, kad jūsų organizacija palaikytų:
- Atnaujintas operacines sistemas, antivirusinę programinę įrangą ir saugumo pataisas visuose įrenginiuose
- Aktyvius šlamšto ir žiniatinklio filtrus el. pašto ir tinklo sistemose
- Stiprius slaptažodžio reikalavimus visose paskyrose
FTC pataria atnaujinti telefonų operacines sistemas, ypač siekiant apsisaugoti nuo per QR kodus platinamos kenkėjiškos programinės įrangos.
Apsaugokite QR kodus, kuriuos jūsų verslas kuria ir diegia
Jūsų pačių QR kodai gali tapti sukčiavimo vektoriais, jei jie nėra tinkamai valdomi. Kontroliuodami savo kodus, tiesiogiai apsaugosite tiek savo klientus, tiek savo reputaciją.
Naudokite dinaminius QR kodus vietoj statinių. Skirtingai nuo statinių kodų, dinaminiai QR kodai galima redaguoti, stebėti ir deaktyvuoti po to, kai jie atspausdinami. Jei kodas yra sugadintas arba nukreiptas į kenkėjišką vietą, galite jį atnaujinti arba išjungti be jokio perspausdinimo. Statiniai kodai, priešingai, yra nuolatiniai – jei paskirties vieta yra pažeista, nėra jokio būdo tai ištaisyti.
Kiekvienam kodui pritaikykite individualų prekės ženklą. Kodai su jūsų logotipu, prekės ženklo spalvomis ir vizualiniu identitetu yra žymiai sunkiau įtikinamai atkartojami nusikaltėliams. Firminiai kodai taip pat suteikia klientams ir darbuotojams vizualinį atskaitos tašką – jei kodas atrodo netinkamai, jis išsiskiria. Tai yra pagrindinė rekomendacija iš saugios QR kodo generavimo geriausia praktika.
Visada nuoroda į HTTPS paskirties vietas. Užtikrinkite, kad kiekvienas jūsų paskelbtas QR kodas vestų į svetainę su galiojančiu SSL sertifikatu. Venkite HTTP paskirties vietų bet kokiam kodui, naudojamam mokėjimams, prisijungimo srautams ar duomenų rinkimui.
Stebėkite nuskaitymo veiklą dėl anomalijų. Realaus laiko analizė leidžia pastebėti neįprastus modelius – staigius nuskaitymo apimties šuolius, geografines anomalijas ar netikėtus įrenginių tipus – kurie gali rodyti, kad kodas buvo pažeistas arba pakeistas. QR kodo sekimo įrankiai gali įspėti jus apie šiuos signalus, kol nepadaryta didelė žala.
Reguliariai fiziškai tikrinkite įdiegtus kodus. Suplanuokite reguliarius patikrinimus bet kokių QR kodų, rodomų viešose vietose. Nufotografuokite kiekvieną kodą, kai jis pirmą kartą patalpinamas, kad turėtumėte atskaitos tašką palyginimui. Ieškokite perdangos lipdukų, netikslumų ar klastojimo požymių.
Apsaugokite savo kodus realaus laiko stebėjimu Norite aptikti įtartiną nuskaitymo veiklą, kol ji netapo rimta problema? Naudokite Dinaminis QR kodo generatorius kurti redaguojamus, sekamus kodus su integruota analitika – ir akimirksniu atnaujinti arba išjungti bet kurį kodą, jei kas nors atrodo neteisingai.
Apsaugokite savo klientus nuskaitymo vietoje
Jei jūsų verslas naudoja QR kodus mokėjimams, meniu ar sąveikai su klientais, imkitės veiksmų, kad padėtumėte klientams patikrinti, ar jie nuskaito teisėtą kodą:
- Prie kiekvieno kodo pateikite aiškias instrukcijas, paaiškinančias, kur jis veda ir kokios informacijos bus prašoma iš klientų
- Pridėkite matomą prekės ženklą ir domeno pavadinimą, kad klientai galėtų patikrinti paskirties vietą prieš sąveikaudami
- Pateikite alternatyvų būdą pasiekti tą pačią informaciją (tiesioginį URL, atspausdintą meniu ir t. t.), kad klientai niekada nebūtų verčiami nuskaityti, jei jie nėra tikri
- Paskelbkite matomus pranešimus, skatinančius klientus pranešti jūsų komandai apie įtartinus kodus
Daugiau apie sumažinimą QR kodų riziką mokėjimų kontekste, įskaitant konkrečias pramonės šakos gaires mažmeninei prekybai ir el. prekybai, žr. specialų mokėjimų saugumo vadovą.
Įvykus incidentui: ką daryti
Jei darbuotojas ar klientas praneša apie galimai pažeistą QR kodą, nedelsdami imkitės veiksmų:
- Išjunkite arba atnaujinkite paveiktą dinaminį QR kodą, kad jis nebesiųstų į kenkėjišką paskirties vietą
- Dokumentuokite incidentą ir išsaugokite įrodymus tyrimui
- Praneškite paveiktoms šalims, kad jos galėtų stebėti paskyras ir pakeisti slaptažodžius
- Praneškite apie incidentą atitinkamoms institucijoms – FBI’s Internet Crime Complaint Center (IC3) dėl su verslu susijusio kibernetinio sukčiavimo ir FTC dėl į vartotojus nukreiptų sukčiavimo atvejų
- Peržiūrėkite kitus savo įdiegtus kodus, kad patikrintumėte, ar nėra panašių klastojimų
Turėti incidentų reagavimo planą prieš tai, kai kas nors nutinka, yra daug pigiau nei improvizuoti esant spaudimui.
Dažniausiai užduodami klausimai
Kvishingas – tai sukčiavimas (phishingas), kai vietoj tekstu pagrįstų nuorodų naudojami QR kodai, siekiant nukreipti aukas į kenkėjiškas svetaines. Kadangi kenkėjiška URL nuoroda yra įterpta į paveikslėlį, ji dažnai apeina el. pašto saugumo filtrus, kurie paprastai aptiktų įtartinas nuorodas paprastame tekste. Rezultatas yra tas pats – pavogti prisijungimo duomenys, mokėjimo duomenys arba kenkėjiškos programinės įrangos įdiegimas – tačiau pristatymo metodas apsunkina aptikimą tiek automatizuotoms priemonėms, tiek vartotojams.
Ieškokite fizinių ženklų, tokių kaip lipdukai, užklijuoti ant esamų kodų, neatitikimas, įbrėžimai ar pikselizacija. Patikrinkite aplinkinį kontekstą – ar kodas turi aiškų prekės ženklą, atitinkantį organizaciją? Ar nuskenavus peržiūros URL atitinka numatomą domeną ir naudoja HTTPS? Ypač įtariai vertinkite kodus, prie kurių pridedama skubi kalba arba kurie yra neįprastose vietose be aiškaus paaiškinimo. Pačiame QR kodo rašte nėra vizualinio skirtumo, kuris patikimai signalizuotų apie kenkėjišką ketinimą, todėl kontekstas yra viskas.
Dinaminiai QR kodai gali būti redaguojami, stebimi ir deaktyvuojami po to, kai jie atspausdinami – taigi, jei kodas yra pažeistas, galite jį nedelsiant atnaujinti arba išjungti be pakartotinio spausdinimo. Jie taip pat teikia nuskaitymo analizę realiuoju laiku, leidžiančią aptikti neįprastą veiklą, pvz., netikėtus geografinius nuskaitymus arba staigius apimties šuolius. Statiniai QR kodai turi fiksuotą paskirties vietą, kurios negalima pakeisti, o tai reiškia, kad bet koks pažeidimas reikalauja sukurti ir iš naujo įdiegti visiškai naują kodą, be galimybės atkurti tai, kas jau buvo išplatinta.
