Фишинг с использованием QR-кодов: Как защитить ваш бизнес

Использует ли ваш бизнес QR-коды, не зная, какие из них были подделаны? Фишинг с использованием QR-кодов, обычно называемый “квишингом”, превращает повседневное удобство в ловушку для кражи учетных данных, и традиционные фильтры безопасности часто полностью пропускают его. В этом руководстве рассказывается о том, как работают эти атаки, во что они обходятся предприятиям, и какие конкретные меры контроля вы можете принять, чтобы остановить их.

Как работает фишинг с использованием QR-кодов

Фишинг с использованием QR-кодов эксплуатирует фундаментальную слабость: QR-коды не читаются человеком. В случае с традиционным URL-адресом опытный глаз часто может заметить поддельный домен или подозрительную строку. QR-код скрывает все это. Как объясняет Алекс Мошер, глобальный вице-президент MobileIron:

“QR-коды по своей природе скрывают свое назначение. Поэтому возможность изменить QR-код, чтобы он указывал на альтернативный ресурс, не будучи обнаруженным, проста и очень эффективна”.”

Злоумышленники встраивают вредоносные URL-адреса в QR-коды, которые перенаправляют жертв на поддельные страницы входа, предназначенные для сбора учетных данных, или на сайты, которые запускают загрузку вредоносного ПО. Усугубляет проблему то, что многие системы безопасности электронной почты не могут декодировать изображения QR-кодов – они видят картинку, а не ссылку – поэтому вредоносная нагрузка проскальзывает через фильтры, которые поймали бы обычный фишинговый URL-адрес.

В 2023 году фишинг с использованием QR-кодов составил 22% всех фишинговых атак. Одна крупномасштабная квишинговая кампания выросла на 2400% за несколько месяцев, а анализ операции, нацеленной на корпоративный сектор, показал, что примерно 29% вредоносных электронных писем содержали QR-коды.

Куда злоумышленники помещают вредоносные QR-коды

Атаки через электронную почту и документы являются наиболее распространенным методом доставки. Злоумышленники встраивают QR-коды в PDF- или Word-вложения, чтобы обойти фильтры безопасности электронной почты. В 2023 году 82% квишинговых атак имитировали доверенные бренды – Microsoft была целью в 51% наблюдаемых случаев, за ней следовали DocuSign с 31% и Adobe с 15%. В период с середины 2024 года по конец 2024 года исследователи обнаружили более 500 000 фишинговых писем, содержащих QR-коды, встроенные в PDF-файлы.

Физическое вмешательство не менее опасно. Злоумышленники размещают поддельные наклейки с QR-кодами поверх легитимных кодов в местах с высокой проходимостью – ресторанах, паркоматах, аэропортах и торговых помещениях. В Сан-Франциско преступники разместили поддельные QR-коды на парковочных талонах, которые направляли пользователей на фальшивую страницу транзита, предназначенную для кражи данных кредитных карт. Управление социального обеспечения специально предупреждает, что легитимные QR-коды на официальных вывесках обычно не являются наклейками; код, нанесенный в виде наклейки, следует рассматривать как подозрительный.

Приманки социальной инженерии дополняют картину. Жертвам предлагается отсканировать QR-код, чтобы получить скидку, подключиться к бесплатному Wi-Fi или пройти опрос. В одном задокументированном случае в Сингапуре женщина отсканировала код в магазине чая с шариками, ожидая вознаграждения за лояльность. Вместо этого на ее телефон было загружено вредоносное приложение, и злоумышленники сняли 2000 долларов с ее банковского счета.

Во что эти атаки обходятся предприятиям

Кража учетных данных и данных

Почти 90% квишинговых атак специально разработаны для кражи учетных данных для входа и конфиденциальных данных. Злоумышленники перенаправляют жертв на убедительные копии Microsoft 365, SharePoint или банковских порталов. Руководители непропорционально часто становятся мишенью, потому что их учетные данные открывают доступ к критически важным системам и привилегированным данным.

Персональные устройства усугубляют ситуацию. Когда сотрудники сканируют QR-коды на телефонах, не зарегистрированных в системе корпоративного управления, ИТ-команды не имеют представления о том, что произошло или к чему был получен доступ.

Финансовые потери

Средняя стоимость утечки данных достигла $4,45 млн в 2023 году, при этом мошенничество с компрометацией корпоративной электронной почты в среднем составляло $4,89 млн – до учета регуляторных штрафов и судебных издержек. Прямые потери от фишинга выросли на 76% по сравнению с предыдущим годом. Отдельные инциденты иллюстрируют масштаб: мошенничество на железнодорожной станции в Великобритании оставило одну жертву с долгом в £13 000; семья из Калгари потеряла $10 000 из-за мошенничества с QR-кодом на Facebook Marketplace.

Малые предприятия несут непропорционально большую долю ущерба. В Великобритании малые предприятия ежедневно сталкиваются с примерно 65 000 кибератак, при этом средняя стоимость устранения последствий успешной атаки составляет около $33 700.

Операционные сбои и репутационный ущерб

Украденные учетные данные часто служат точкой входа для развертывания программ-вымогателей. В 2023 году организации потратили в среднем $1,82 млн на восстановление после инцидентов с программами-вымогателями. Строительные и инженерные фирмы сталкиваются с риском атаки с использованием QR-кодов в 19,2 раза выше среднего; фирмы, предоставляющие профессиональные услуги, сталкиваются с риском в 18,5 раза выше.

Помимо операционных простоев, предприятия сталкиваются с оттоком клиентов, более высокими страховыми премиями по кибербезопасности и регуляторным контролем при утечке данных клиентов. Восстановление доверия после утечки занимает гораздо больше времени, чем разрешение самого технического инцидента.

Как предотвратить фишинг с использованием QR-кодов: Многоуровневый подход

Ни один отдельный контроль не устраняет квишинг. Последовательная рекомендация от исследователей безопасности, федеральных агентств и корпоративных команд безопасности — это многоуровневая защита, сочетающая фильтрацию электронной почты, контроль идентификации, защиту конечных точек, обучение сотрудников и рабочие процессы отчетности.

Средства контроля безопасности электронной почты

Настройте системы безопасности электронной почты с возможностями, выходящими за рамки стандартного сканирования ссылок. Эффективные средства контроля включают:

• Фильтрация с поддержкой OCR которая декодирует изображения QR-кодов в электронных письмах и анализирует встроенный URL-адрес на основе данных об угрозах
• Антифишинговые политики настроенные на пометку полезных нагрузок на основе изображений, особенно QR-кодов, встроенных в вложения PDF или документов Office
• Строгие правила спам-шлюза, которые по умолчанию рассматривают нежелательные QR-коды в электронной почте как высокий риск

Для сред Microsoft 365, в частности, Microsoft Defender для Office 365 включает декодирование изображений QR-кодов для выявления встроенных URL-адресов для проверки репутации и оценки безопасных ссылок.

Управление идентификацией и доступом

Украденные учетные данные полезны только в том случае, если их можно использовать. Многоуровневые средства контроля идентификации значительно снижают этот риск:

• Многофакторная аутентификация (MFA) для всех учетных записей, с более строгими требованиями к аутентификации для пользователей с высокими привилегиями и руководителей
• Методы MFA, устойчивые к фишингу такие как аппаратные ключи безопасности или ключи доступа, которые привязаны к легитимному домену и не могут быть перехвачены мошенническим сайтом
• Блокировка устаревших протоколов аутентификации, не поддерживающих MFA, что устраняет распространенный путь обхода
• Политики условного доступа, которые помечают или блокируют попытки входа с неуправляемых устройств

Для более глубокого понимания того, как QR-коды пересекаются с рабочими процессами аутентификации, см. как QR-коды упрощают многофакторную аутентификацию.

Защита конечных точек и устройств

Управляемые устройства с актуальной защитой конечных точек обеспечивают критически важную систему безопасности:

• Развертывание обнаружения и реагирования на конечных точках (EDR) на всех управляемых устройствах
• Включение проверок репутации браузера (таких как Microsoft SmartScreen), которые предупреждают пользователей до того, как они достигнут известного фишингового домена
• Применение политик управления мобильными устройствами (MDM), которые обеспечивают соблюдение базовых требований безопасности на телефонах, используемых для сканирования QR-кодов в рабочих целях
• Ограничение загрузок с неуправляемых устройств в корпоративных сетях

ФТК советует поддерживать операционные системы устройств в актуальном состоянии и использовать надежные, уникальные пароли для всех учетных записей в качестве базовой гигиены, которая снижает последствия любой успешной фишинговой атаки.

Обучение и осведомленность сотрудников

Ваши сотрудники — это самая прямая линия защиты от квишинга, и обучение должно быть явным – общая осведомленность о фишинге не распространяется автоматически на угрозы, связанные с QR-кодами.

Эффективные программы обучения охватывают:

• Почему QR-коды опасны: пункт назначения скрыт до момента сканирования
• Красные флажки в электронных письмах, содержащих QR-коды: срочность, общие приветствия, нежелательные сообщения от известных брендов и запросы учетных данных для входа
• Признаки физического вмешательства: коды, наклеенные поверх печатных материалов, коды на неофициальных вывесках
• Привычки проверки: если QR-код приходит в неожиданном электронном письме, свяжитесь с отправителем по известному номеру телефона или через официальный веб-сайт, а не сканируйте код
• Проверка URL-адреса: после сканирования проверьте URL-адрес в адресной строке браузера, прежде чем вводить какие-либо учетные данные – ищите опечатки, переставленные буквы или незнакомые домены

Министерство здравоохранения и социальных служб США рекомендует обучать конечных пользователей поддерживать здоровую степень скептицизма и распознавать такие индикаторы, как подозрительные адреса отправителей, поддельные ссылки и неправильная грамматика – все это появляется в фишинговых кампаниях на основе QR-кодов так же, как и в текстовых.

Проводите симулированные квишинговые упражнения наряду со стандартными фишинговыми симуляциями. Ориентируйтесь на группы высокого риска – руководителей, финансовые команды и всех, кто имеет административные привилегии – с более частыми и реалистичными сценариями.

Для более широкого обзора лучших практик безопасности QR-кодов в киберзащите, включая шифрование и сопряжение аутентификации, это руководство более подробно охватывает технические средства контроля.

Отчетность и реагирование на инциденты

Сотрудникам нужен четкий, простой способ сообщать о подозрительных QR-кодах – как в электронной почте, так и в физических пространствах. Кнопка «сообщить о фишинге» в почтовых клиентах упрощает цифровые отчеты. Для физических кодов предоставьте рекомендации о том, как помечать и фотографировать подозрительные наклейки или измененные материалы.

Ваш план реагирования на инциденты должен конкретно рассматривать сценарии квишинга с определенными шагами:

• Изолируйте любую учетную запись, которая могла предоставить учетные данные через вредоносный QR-код
• Немедленно отзовите активные сессии и сбросьте пароли
• Проверьте наличие несанкционированного доступа или перемещения данных в промежутке между сканированием и ответом
• Уведомите пострадавших лиц в соответствии с вашей политикой уведомления о нарушениях
• Проведите послеинцидентный анализ, чтобы определить, как QR-код обошел существующие средства контроля

Проведите тестирование на проникновение, включающее сценарии квишинга, чтобы найти уязвимости до того, как это сделают злоумышленники.

QR-коды, развертываемые вашим бизнесом: Защита ваших собственных кодов

Предотвращение квишинга также означает обеспечение того, чтобы QR-коды, публикуемые вашим бизнесом, не могли быть использованы против ваших клиентов или сотрудников.

Используйте динамические QR-коды вместо статических. Статические коды постоянно кодируют целевой URL. Если этот пункт назначения когда-либо будет скомпрометирован, код становится уязвимостью, которую вы не сможете исправить без перепечатки. Динамические QR-коды указывайте на короткий URL-адрес перенаправления, который вы контролируете – вы можете обновить пункт назначения, перенаправить на новую страницу или полностью отключить код с панели управления, не затрагивая печатный материал.

Держите ваши опубликованные QR-коды под контролем Если вы подозреваете, что один из ваших развернутых кодов был изменен или указывает на небезопасное место, вы можете мгновенно обновить или отключить его. Используйте Динамический QR код: генератор для управления всеми вашими кодами с централизованной панели управления с аналитикой сканирования в реальном времени.

Применяйте последовательный брендинг к вашим кодам. Семьдесят один процент людей не могут надежно отличить поддельный QR-код от подлинного. Брендированные QR-коды – с вашим логотипом, цветами компании и пользовательским доменом в целевом URL – дают пользователям визуальный сигнал о том, что код является подлинным. Обычные черно-белые QR-коды с непрозрачными короткими URL-адресами не дают такой гарантии.

Отслеживайте аналитику сканирований на предмет аномалий. Динамические QR-коды собирают данные сканирования, включая временные метки, типы устройств и географическое положение. Внезапный всплеск сканирований из неожиданных регионов или активность сканирования вне обычных рабочих часов может указывать на то, что один из ваших кодов был скопирован и злонамеренно распространен. Панель аналитики Pageloot выявляет эти закономерности, чтобы вы могли быстро расследовать и реагировать.

Для подробного изучения того, какие данные сканирования собирают ваши коды и как ответственно их интерпретировать, см. понимание того, какие данные отслеживают ваши динамические QR-коды.

Проводите регулярные физические проверки. Для любых QR-кодов, размещенных в общественных или полуобщественных местах – на столах в ресторанах, вывесках мероприятий, дисплеях транспортных средств или витринах магазинов – регулярно проводите физический осмотр кодов. Ищите наклейки, наклеенные поверх оригинального кода, и проверяйте назначение каждого кода, прежде чем с ним столкнутся клиенты.

Используйте исключительно HTTPS-назначения. Каждый URL-адрес, на который ссылаются ваши QR-коды, должен использовать HTTPS. Отправка пользователей на незашифрованный HTTP-адрес подрывает доверие и раскрывает данные при передаче.

Для получения дополнительных рекомендаций по рисков конфиденциальности QR-кодов и способов их избежать, включая то, как сбалансировать аналитику с конфиденциальностью пользователей, этот ресурс охватывает аспекты данных, которые предприятия часто упускают из виду.

Оценка инструментов обнаружения

Обучение сотрудников и элементы управления платформой устраняют значительную часть риска, но специализированные инструменты обнаружения добавляют еще один уровень – особенно для организаций с большим объемом электронной почты или сложными развертываниями QR-кодов. Если вы оцениваете варианты, инструменты, предназначенные для обнаружения фишинга с использованием QR-кодов варьируются от корпоративных платформ поведенческой аналитики до надстроек для почтовых шлюзов и мобильных приложений для сканирования со встроенными проверками репутации.

Правильная комбинация зависит от вашего существующего стека безопасности, объема QR-кодов, которые вы получаете по сравнению с развертываете, и того, является ли физическое вмешательство серьезной проблемой для ваших местоположений. Квишинг — это не гипотетическая угроза. Он составляет значительную долю реальной фишинговой активности, обходит средства контроля, которые большинство организаций уже имеют, и непропорционально нацелен на предприятия и пользователей, наименее подготовленных к его распознаванию. Устранение этого пробела требует целенаправленных действий в области безопасности электронной почты, контроля идентификации, обучения сотрудников и QR-кодов, которые вы публикуете сами.

Начните с мер контроля, которые вы можете реализовать немедленно – MFA, осведомленность сотрудников и перевод ваших опубликованных кодов на динамическое управление – затем переходите к многоуровневой защите, которая делает квишинговые атаки постоянно безуспешными против вашей организации.

Часто задаваемые вопросы