Jak chronić firmę przed oszustwami z kodami QR

Czy kody QR narażają Twoją firmę na ryzyko? Fałszywe kody QR są coraz częstszym narzędziem cyberprzestępców atakujących firmy każdej wielkości – a większość pracowników nie wie, jak je rozpoznać. Ten przewodnik wyjaśnia, jak działają oszustwa z kodami QR, na jakie sygnały ostrzegawcze zwracać uwagę oraz jakie konkretne kroki może podjąć Twoja firma, aby pozostać chronioną.

Dlaczego oszustwa z kodami QR stanowią rosnące zagrożenie dla biznesu

Kody QR stały się rutynową częścią prowadzenia działalności – płatności, menu, materiały marketingowe, rejestracje na wydarzenia i wiele innych. Ta znajomość jest dokładnie tym, co czyni je atrakcyjnymi dla przestępców.

Ten rodzaj ataku jest znany jako quishing (phishing z kodami QR). Oszuści tworzą lub modyfikują kody QR, aby przekierować ludzi na fałszywe strony internetowe zaprojektowane w celu kradzieży danych logowania, danych płatniczych lub innych wrażliwych danych – lub w celu cichej instalacji złośliwego oprogramowania na ich urządzeniu.

Skala jest znacząca. Między majem a lipcem 2023 r. kampania phishingowa z kodami QR, której celem były dane uwierzytelniające Microsoft, wzrosła o ponad 2400%. Analiza trendów między IV kwartałem 2023 r. a I kwartałem 2024 r. wykazała 433% wzrost odniesień do phishingu z kodami QR. Kadra kierownicza jest szczególnie zagrożona, otrzymując 42 razy więcej ataków z kodami QR niż inni pracownicy ze względu na szerszy dostęp do zasobów firmy.

Żadna branża nie jest odporna. Energetyka, produkcja, ubezpieczenia, technologia i usługi finansowe były celem udokumentowanych kampanii. Pojedynczy pracownik skanujący niewłaściwy kod może otworzyć drzwi do kradzieży danych uwierzytelniających, oszustw finansowych lub pełnego naruszenia sieci.

Jak oszustwa z kodami QR atakują firmy

Zrozumienie metod stosowanych przez przestępców jest pierwszym krokiem do zbudowania skutecznej obrony. Ataki typu quishing zazwyczaj przebiegają według jednego z kilku schematów:

Wiadomości e-mail typu phishing z osadzonymi kodami QR. Atakujący wysyłają wiadomości e-mail zawierające kody QR, które kierują odbiorców do przekonujących fałszywych stron logowania – często naśladujących Microsoft 365, portale bankowe lub systemy wewnętrzne. Ponieważ złośliwy link jest ukryty w obrazie, a nie wpisany jako tekst, wiele filtrów bezpieczeństwa poczty e-mail nie jest w stanie go wykryć.

Fizyczna wymiana kodu. Przestępcy drukują fałszywe naklejki z kodami QR i umieszczają je na legalnych kodach na oznakowaniach, terminalach płatniczych, menu, parkometrach lub opakowaniach produktów. Ofiary skanują to, co wydaje się być oficjalnym kodem, i są przekierowywane na fałszywą stronę. W Austin w Teksasie policja odkryła 29 fałszywych kodów QR umieszczonych na miejskich parkometrach. W Yorku w Wielkiej Brytanii, fałszywe kody QR na oznakowaniach parkingowych przekierowywały kierowców na sklonowane strony płatności, a niektóre ofiary straciły do 400 funtów.

Niezamówione paczki i poczta. Amerykańska Służba Inspekcji Pocztowej ostrzega, że oszuści wysyłają nieoczekiwane paczki zawierające małe prezenty wraz z kodami QR, prosząc odbiorców o zeskanowanie kodu w celu “zarejestrowania” przedmiotu. Skanowanie prowadzi do fałszywej strony internetowej żądającej danych osobowych lub finansowych.

Podszywanie się pod zaufane organizacje. Atakujący podszywają się pod agencje rządowe, banki, firmy kurierskie lub inne znane firmy, aby stworzyć poczucie pilności i obniżyć czujność celu przed zeskanowaniem kodu QR.

Oznaki fałszywego kodu QR

Nie ma wiarygodnej wizualnej różnicy w samym wzorze QR, która konsekwentnie odróżniałaby złośliwy kod od legalnego. Zamiast tego, Twój zespół musi ocenić kontekst i zachowanie wokół kodu. Szkol pracowników, aby traktowali następujące kwestie jako sygnały ostrzegawcze:

• Oznaki fizycznej manipulacji: Kod wygląda jak naklejka, jest przyklejony taśmą, wygląda na porysowany lub rozpikselowany, jest źle wyrównany lub jest wyraźnie umieszczony na innym wydrukowanym kodzie.
• Brak jasnego kontekstu lub brandingu: Kod pojawia się na przypadkowej powierzchni, nie ma wyjaśnienia jego celu lub brakuje mu spójnego brandingu organizacji, którą rzekomo reprezentuje.
• Język pilny lub wywierający presję: Otaczający tekst wymaga natychmiastowego działania, płatności lub logowania bez jasnego, uzasadnionego powodu.
• Niespójności w brandingu: Błędy ortograficzne, niedopasowane logo, nietypowe kolory lub projekt, który nie pasuje do normalnego wyglądu organizacji.
• Podejrzany podgląd adresu URL: Po zeskanowaniu wyświetlany adres URL nie pasuje do oczekiwanej domeny, jest skrócony, zawiera błędy ortograficzne lub brakuje mu protokołu HTTPS (brak ikony kłódki w przeglądarce).
• Nieoczekiwane prośby o poufne informacje: Strona prosi o hasła, dane płatnicze lub dane osobowe bez jasnego, oczekiwanego powodu.
• Niechciana dostawa: Kod QR dotarł w wiadomości e-mail, SMS-ie lub paczce, której się nie spodziewałeś – szczególnie z wiadomością nakłaniającą do szybkiego działania.

Aby uzyskać głębsze spojrzenie na identyfikację skompromitowanych kodów, przewodnik po najlepszych praktykach bezpieczeństwa kodów QR w cyberobronie szczegółowo omawia wykrywanie i reagowanie na incydenty.

Jak chronić swoją firmę: Praktyczna lista kontrolna

Ochrona organizacji przed oszustwami z kodami QR wymaga warstwowych zabezpieczeń – żadne pojedyncze działanie nie jest wystarczające. FBI zaleca wielowarstwową strategię, która łączy edukację pracowników, kontrole techniczne, silne uwierzytelnianie i ciągłe monitorowanie.

Szkol pracowników, aby rozpoznawali quishing

Błąd ludzki pozostaje najbardziej wykorzystywaną luką w atakach z użyciem kodów QR. Regularne, praktyczne szkolenia powinny obejmować:

• Nigdy nie skanowanie kodów QR z nieoczekiwanych wiadomości e-mail, SMS-ów, paczek lub ulotek – nawet jeśli wydają się pochodzić z zaufanego źródła
• Zawsze podglądanie adresu URL przed otwarciem go po zeskanowaniu i sprawdzanie pod kątem błędów ortograficznych, niezgodnych domen lub braku HTTPS
• Fizyczne sprawdzanie kodów QR w miejscu pracy pod kątem oznak manipulacji, zwłaszcza na terminalach płatniczych, oznakowaniach lub materiałach drukowanych
• Weryfikowanie źródła kodu QR za pośrednictwem oddzielnego, zaufanego kanału przed wprowadzeniem jakichkolwiek danych uwierzytelniających lub informacji płatniczych
• Natychmiastowe zgłaszanie wszelkich podejrzanych kodów QR poprzez jasny wewnętrzny proces eskalacji

FBI w szczególności zaleca ustanowienie formalnych wewnętrznych protokołów zgłaszania podejrzanych kodów, aby incydenty mogły być szybko eskalowane i rozwiązywane.

Wdrażaj silne uwierzytelnianie i kontrolę dostępu

Dane uwierzytelniające skradzione w wyniku ataków quishingowych mogą spowodować poważne szkody tylko wtedy, gdy zapewniają niekontrolowany dostęp. FBI i organy ds. cyberbezpieczeństwa zalecają:

• Wymaganie odpornego na phishing uwierzytelniania wieloskładnikowego (MFA) dla wszystkich zdalnych dostępów i wrażliwych systemów
• Stosowanie kontroli dostępu opartych na rolach, aby pracownicy mogli uzyskiwać dostęp tylko do systemów i danych istotnych dla ich roli
• Rozważenie strategii zerowego zaufania, która stale weryfikuje żądania dostępu, zamiast udzielać ogólnego zaufania sieciowego

Utrzymuj systemy i oprogramowanie aktualne

Zabezpieczenia techniczne zmniejszają powierzchnię ataku dostępną dla przestępców. Upewnij się, że Twoja organizacja utrzymuje:

• Aktualne systemy operacyjne, oprogramowanie antywirusowe i poprawki bezpieczeństwa na wszystkich urządzeniach
• Aktywne filtry spamu i sieciowe w systemach poczty e-mail i sieciowych
• Silne wymagania dotyczące haseł dla wszystkich kont

FTC zaleca aktualizowanie systemów operacyjnych telefonów w szczególności w celu ochrony przed złośliwym oprogramowaniem dostarczanym za pomocą kodów QR.

Zabezpiecz kody QR, które Twoja firma tworzy i wdraża

Twoje własne kody QR mogą stać się wektorami oszustw, jeśli nie są odpowiednio zarządzane. Przejęcie kontroli nad swoimi kodami to jeden z najbardziej bezpośrednich sposobów ochrony zarówno klientów, jak i reputacji.

Używaj dynamicznych kodów QR zamiast statycznych. W przeciwieństwie do kodów statycznych, dynamiczne kody QR można je edytować, monitorować i dezaktywować po wydrukowaniu. Jeśli kod zostanie naruszony lub przekierowany do złośliwego miejsca docelowego, możesz go zaktualizować lub wyłączyć bez ponownego drukowania. Kody statyczne, w przeciwieństwie do nich, są trwałe – jeśli miejsce docelowe zostanie naruszone, nie ma możliwości jego poprawienia.

Zastosuj niestandardowe branding do każdego kodu. Kody z Twoim logo, kolorami marki i identyfikacją wizualną są znacznie trudniejsze do wiarygodnego podrobienia przez przestępców. Kody markowe dają również klientom i pracownikom wizualny punkt odniesienia – jeśli kod nie wygląda prawidłowo, wyróżnia się. Jest to kluczowa rekomendacja od bezpieczne generowanie kodów QR najlepsze praktyki.

Zawsze linkuj do miejsc docelowych HTTPS. Upewnij się, że każdy opublikowany kod QR prowadzi do witryny z ważnym certyfikatem SSL. Unikaj miejsc docelowych HTTP dla wszelkich kodów używanych w płatnościach, procesach logowania lub zbieraniu danych.

Monitoruj aktywność skanowania pod kątem anomalii. Analizy w czasie rzeczywistym pozwalają wykryć nietypowe wzorce – nagłe skoki liczby skanowań, anomalie geograficzne lub nieoczekiwane typy urządzeń – które mogą wskazywać, że kod został naruszony lub zastąpiony. Narzędzia do śledzenia kodów QR może Cię ostrzec o tych sygnałach, zanim nastąpią poważne szkody.

Regularnie fizycznie sprawdzaj wdrożone kody. Zaplanuj rutynowe kontrole wszystkich kodów QR wyświetlanych w miejscach publicznych. Zrób zdjęcie każdego kodu, gdy zostanie po raz pierwszy umieszczony, aby mieć punkt odniesienia do porównania. Szukaj oznak naklejek, niewspółosiowości lub manipulacji.

Chroń swoje kody dzięki monitorowaniu w czasie rzeczywistym Chcesz wykryć podejrzaną aktywność skanowania, zanim stanie się poważnym problemem? Użyj Generator dynamicznych kodów QR aby tworzyć edytowalne, śledzone kody z wbudowaną analityką – i natychmiast aktualizować lub wyłączać każdy kod, jeśli coś wygląda nieprawidłowo.

Chroń swoich klientów w punkcie skanowania

Jeśli Twoja firma wyświetla kody QR do płatności, menu lub interakcji z klientami, podejmij kroki, aby pomóc klientom zweryfikować, czy skanują legalny kod:

• Wyświetlaj jasne instrukcje w pobliżu każdego kodu, wyjaśniające, do czego prowadzi i jakie informacje klienci zostaną poproszeni o podanie
• Dodaj widoczne logo i nazwę domeny, aby klienci mogli zweryfikować miejsce docelowe przed interakcją
• Zapewnij alternatywną metodę dostępu do tych samych informacji (bezpośredni adres URL, drukowane menu itp.), aby klienci nigdy nie byli zmuszeni do skanowania, jeśli nie są pewni
• Wywieś widoczne ogłoszenia zachęcające klientów do zgłaszania podejrzanych kodów Twojemu zespołowi

Więcej na temat zmniejszania ryzyka związanego z kodami QR w kontekście płatności, w tym wskazówki branżowe dla handlu detalicznego i e-commerce, znajdziesz w dedykowanym przewodniku bezpieczeństwa płatności.

Gdy dojdzie do incydentu: Co robić

Jeśli pracownik lub klient zgłosi potencjalnie naruszony kod QR, działaj natychmiast:

• Wyłącz lub zaktualizuj dotknięty dynamiczny kod QR, aby nie kierował już do złośliwego miejsca docelowego
• Udokumentuj incydent i zachowaj dowody do dochodzenia
• Powiadom poszkodowane strony, aby mogły monitorować konta i zmieniać hasła
• Zgłoś incydent odpowiednim władzom – Internet Crime Complaint Center (IC3) FBI w przypadku oszustw cybernetycznych związanych z biznesem oraz FTC w przypadku oszustw skierowanych do konsumentów
• Przejrzyj inne wdrożone kody, aby sprawdzić, czy nie doszło do podobnych manipulacji

Posiadanie planu reagowania na incydenty, zanim coś pójdzie nie tak, jest znacznie mniej kosztowne niż improwizowanie pod presją.

Najczęściej zadawane pytania