Как защитить свой бизнес от мошенничества с QR-кодами

Ставят ли QR-коды ваш бизнес под угрозу? Мошеннические QR-коды становятся все более распространенным инструментом для киберпреступников, нацеленных на компании любого размера – и большинство сотрудников не знают, как их распознать. Это руководство объясняет, как работают мошенничества с QR-кодами, на какие предупреждающие знаки обращать внимание и какие конкретные шаги может предпринять ваш бизнес, чтобы оставаться защищенным.

Почему мошенничества с QR-кодами представляют растущую угрозу для бизнеса

QR-коды стали рутинной частью ведения бизнеса – платежи, меню, маркетинговые материалы, регистрация на мероприятия и многое другое. Именно эта привычность делает их привлекательными для преступников.

Этот тип атаки известен как квишинг (фишинг с QR-кодами). Мошенники создают или изменяют QR-коды, чтобы перенаправлять людей на мошеннические веб-сайты, предназначенные для кражи учетных данных, платежных реквизитов или других конфиденциальных данных – или для скрытой установки вредоносного ПО на их устройство.

Масштаб значителен. В период с мая по июль 2023 года кампания фишинга с QR-кодами, нацеленная на учетные данные Microsoft, выросла более чем на 2400%. Анализ тенденций между Q4 2023 и Q1 2024 выявил увеличение на 433% упоминаний фишинга с QR-кодами. Руководители особенно подвержены риску, получая в 42 раза больше атак с QR-кодами, чем другие сотрудники, из-за их более широкого доступа к ресурсам компании.

Ни одна отрасль не застрахована. Энергетика, производство, страхование, технологии и финансовые услуги – все они были целями задокументированных кампаний. Один сотрудник, отсканировавший неверный код, может открыть дверь для кражи учетных данных, финансового мошенничества или полного взлома сети.

Как мошенничества с QR-кодами нацелены на бизнес

Понимание методов, используемых преступниками, является первым шагом к построению эффективной защиты. Атаки квишинга обычно следуют одному из нескольких шаблонов:

Фишинговые электронные письма со встроенными QR-кодами. Злоумышленники отправляют электронные письма, содержащие QR-коды, которые направляют получателей на убедительные поддельные страницы входа – часто имитирующие Microsoft 365, банковские порталы или внутренние системы. Поскольку вредоносная ссылка скрыта внутри изображения, а не набрана текстом, многие фильтры безопасности электронной почты не могут ее обнаружить.

Физическая замена кода. Преступники печатают мошеннические наклейки с QR-кодами и размещают их поверх легитимных кодов на вывесках, платежных терминалах, меню, парковочных автоматах или упаковке продуктов. Жертвы сканируют то, что кажется официальным кодом, и перенаправляются на поддельный сайт. В Остине, штат Техас, полиция обнаружила 29 поддельных QR-кодов, размещенных на городских парковочных автоматах. В Йорке, Великобритания, поддельные QR-коды на парковочных знаках перенаправляли водителей на клонированные платежные сайты, при этом некоторые жертвы потеряли до 400 фунтов стерлингов.

Незапрошенные посылки и почта. Почтовая инспекционная служба США предупреждает, что мошенники рассылают неожиданные посылки, содержащие небольшие подарки, вместе с QR-кодами, прося получателей отсканировать код для “регистрации” предмета. Сканирование приводит на поддельный сайт, запрашивающий личные или финансовые данные.

Выдача себя за доверенные организации. Злоумышленники маскируются под государственные учреждения, банки, службы доставки или другие известные компании, чтобы создать срочность и снизить бдительность жертвы до сканирования QR-кода.

Признаки мошеннического QR-кода

В самом QR-шаблоне нет надежных визуальных различий, которые последовательно отличали бы вредоносный код от легитимного. Вместо этого вашей команде необходимо оценивать контекст и поведение вокруг кода. Обучите сотрудников рассматривать следующее как тревожные сигналы:

• Признаки физического вмешательства: Код выглядит как наклейка, приклеен скотчем, выглядит поцарапанным или пикселизированным, смещен или явно наложен поверх другого напечатанного кода.
• Отсутствие четкого контекста или брендинга: Код появляется на случайной поверхности, не имеет объяснения своего назначения или не имеет последовательного брендинга от организации, которую он якобы представляет.
• Срочный или настойчивый язык: Окружающий текст требует немедленных действий, оплаты или входа в систему без четкой законной причины.
• Несоответствия в брендинге: Опечатки, несоответствующие логотипы, необычные цвета или дизайн, не соответствующий обычному виду организации.
• Подозрительный URL предварительного просмотра: После сканирования отображаемый URL не соответствует ожидаемому домену, сокращен, содержит опечатки или не имеет HTTPS (нет значка замка в браузере).
• Неожиданные запросы конфиденциальной информации: Страница запрашивает пароли, платежные данные или личную информацию без четкой, ожидаемой причины.
• Незапрошенная доставка: QR-код пришел в электронном письме, текстовом сообщении или посылке, которую вы не ожидали, – особенно с сообщением, призывающим действовать быстро.

Для более глубокого изучения выявления скомпрометированных кодов руководство по лучшим практикам безопасности QR-кодов в киберзащите подробно описывает обнаружение и реагирование на инциденты.

Как защитить свой бизнес: Практический контрольный список

Защита вашей организации от мошенничества с QR-кодами требует многоуровневой защиты – ни одна мера сама по себе не является достаточной. ФБР рекомендует многоуровневую стратегию, которая сочетает обучение сотрудников, технические средства контроля, надежную аутентификацию и постоянный мониторинг.

Обучите сотрудников распознавать квишинг

Человеческий фактор остается наиболее эксплуатируемой уязвимостью в атаках с использованием QR-кодов. Регулярное практическое обучение должно охватывать:

• Никогда не сканировать QR-коды из неожиданных электронных писем, текстовых сообщений, посылок или листовок – даже если они кажутся исходящими от надежного источника
• Всегда предварительно просматривать URL-адрес перед его открытием после сканирования и проверять на наличие опечаток, несоответствующих доменов или отсутствия HTTPS
• Физически осматривать QR-коды на рабочем месте на предмет признаков подделки, особенно на платежных терминалах, вывесках или печатных материалах
• Проверять источник QR-кода через отдельный, доверенный канал перед вводом любых учетных данных или платежной информации
• Немедленно сообщать о любых подозрительных QR-кодах через четкий внутренний процесс эскалации

ФБР особо рекомендует устанавливать формальные внутренние протоколы для сообщения о подозрительных кодах, чтобы инциденты могли быть быстро эскалированы и устранены.

Внедряйте надежную аутентификацию и контроль доступа

Учетные данные, украденные в результате квишинговых атак, могут нанести серьезный ущерб только в том случае, если они предоставляют неконтролируемый доступ. ФБР и органы кибербезопасности рекомендуют:

• Требовать устойчивую к фишингу многофакторную аутентификацию (MFA) для всего удаленного доступа и конфиденциальных систем
• Применять ролевой контроль доступа, чтобы сотрудники могли получать доступ только к системам и данным, соответствующим их роли
• Рассмотреть стратегию нулевого доверия, которая постоянно проверяет запросы на доступ, а не предоставляет полное доверие к сети

Поддерживайте системы и программное обеспечение в актуальном состоянии

Технические меры защиты уменьшают поверхность атаки, доступную для злоумышленников. Убедитесь, что ваша организация поддерживает:

• Актуальные операционные системы, антивирусное программное обеспечение и исправления безопасности на всех устройствах
• Активные спам- и веб-фильтры в электронной почте и сетевых системах
• Строгие требования к паролям для всех учетных записей

FTC советует обновлять операционные системы телефонов специально для защиты от вредоносного ПО, распространяемого через QR-коды.

Защитите QR-коды, которые создает и развертывает ваш бизнес

Ваши собственные QR-коды могут стать векторами мошенничества, если ими не управлять должным образом. Взятие под контроль ваших кодов — один из самых прямых способов защитить как ваших клиентов, так и вашу репутацию.

Используйте динамические QR-коды вместо статических. В отличие от статических кодов, динамические QR-коды их можно редактировать, отслеживать и деактивировать после печати. Если код был изменен или перенаправлен на вредоносный ресурс, вы можете обновить или отключить его без перепечатки. Статические коды, напротив, являются постоянными – если ресурс скомпрометирован, исправить это невозможно.

Применяйте индивидуальный брендинг к каждому коду. Коды с вашим логотипом, фирменными цветами и визуальной идентичностью значительно сложнее убедительно подделать для преступников. Брендированные коды также дают клиентам и сотрудникам визуальную точку отсчета – если код выглядит неправильно, это бросается в глаза. Это основная рекомендация от лучшие практики безопасной генерации QR-кодов.

Всегда ссылайтесь на HTTPS-ресурсы. Убедитесь, что каждый публикуемый вами QR-код ведет на сайт с действительным SSL-сертификатом. Избегайте HTTP-ресурсов для любых кодов, используемых в платежах, процессах входа в систему или сбора данных.

Отслеживайте активность сканирования на предмет аномалий. Аналитика в реальном времени позволяет выявлять необычные закономерности – внезапные всплески объема сканирований, географические аномалии или неожиданные типы устройств – которые могут указывать на компрометацию или замену кода. Инструменты отслеживания QR-кода может предупредить вас об этих сигналах до того, как будет нанесен значительный ущерб.

Регулярно осматривайте развернутые коды. Запланируйте регулярные проверки любых QR-кодов, размещенных в общедоступных местах. Сфотографируйте каждый код при его первом размещении, чтобы у вас была эталонная копия для сравнения. Ищите признаки наклеек-накладок, смещения или подделки.

Защитите свои коды с помощью мониторинга в реальном времени Хотите обнаружить подозрительную активность сканирования до того, как она станет серьезной проблемой? Используйте Динамический QR код: генератор для создания редактируемых, отслеживаемых кодов со встроенной аналитикой – и мгновенно обновляйте или отключайте любой код, если что-то выглядит подозрительно.

Защитите своих клиентов в точке сканирования

Если ваш бизнес использует QR-коды для платежей, меню или взаимодействия с клиентами, примите меры, чтобы помочь клиентам убедиться, что они сканируют легитимный код:

• Разместите четкие инструкции рядом с каждым кодом, объясняющие, куда он ведет и какую информацию клиентам будет предложено предоставить
• Добавьте видимый брендинг и доменное имя, чтобы клиенты могли проверить назначение перед взаимодействием
• Предоставьте альтернативный метод доступа к той же информации (прямой URL, печатное меню и т. д.), чтобы клиенты никогда не были вынуждены сканировать, если они не уверены
• Разместите видимые объявления, призывающие клиентов сообщать о подозрительных кодах вашей команде

Для получения дополнительной информации о снижении рисков QR-кодов в контексте платежей, включая отраслевые рекомендации для розничной торговли и электронной коммерции, см. в специальном руководстве по безопасности платежей.

Когда происходит инцидент: Что делать

Если сотрудник или клиент сообщает о потенциально скомпрометированном QR-коде, действуйте немедленно:

• Отключите или обновите затронутый динамический QR-код, чтобы он больше не вел к вредоносному назначению
• Задокументируйте инцидент и сохраните доказательства для расследования
• Уведомите затронутые стороны, чтобы они могли отслеживать учетные записи и менять пароли
• Сообщите об инциденте соответствующим органам – Центру жалоб на интернет-преступления ФБР (IC3) для кибермошенничества, связанного с бизнесом, и FTC для мошенничества, ориентированного на потребителей
• Проверьте другие развернутые коды на предмет аналогичных манипуляций

Наличие плана реагирования на инциденты до того, как что-то пойдет не так, обходится гораздо дешевле, чем импровизация под давлением.

Часто задаваемые вопросы