Kako zaščititi svoje podjetje pred prevarami z QR kodami

1. Ali QR kode ogrožajo vaše podjetje? Goljufive QR kode so vse pogostejše orodje kibernetskih kriminalcev, ki ciljajo na podjetja vseh velikosti – in večina zaposlenih jih ne zna prepoznati. Ta vodnik pojasnjuje, kako delujejo prevare z QR kodami, na katere opozorilne znake morate biti pozorni in katere specifične korake lahko vaše podjetje sprejme za zaščito.

2. Zakaj so prevare z QR kodami naraščajoča grožnja za podjetja

3. QR kode so postale rutinski del poslovanja – plačila, meniji, marketinški materiali, prijave na dogodke in še več. Prav ta prepoznavnost jih dela privlačne za kriminalce.

4. Ta vrsta napada je znana kot 5. quishing 6. (phishing z QR kodami). Goljufi ustvarjajo ali spreminjajo QR kode, da preusmerijo ljudi na goljufive spletne strani, zasnovane za krajo prijavnih podatkov, plačilnih podrobnosti ali drugih občutljivih podatkov – ali za tiho namestitev zlonamerne programske opreme na njihovo napravo.

7. Obseg je pomemben. Med majem in julijem 2023 se je kampanja phishinga z QR kodami, usmerjena v poverilnice Microsoft, povečala za več kot 2.400 %. Analiza trendov med Q4 2023 in Q1 2024 je pokazala 433 % povečanje omemb phishinga z QR kodami. Vodstveni delavci so še posebej ogroženi, saj so deležni 42-krat več napadov z QR kodami kot drugi zaposleni zaradi njihovega širšega dostopa do virov podjetja.

8. Nobena industrija ni imuna. Energetika, proizvodnja, zavarovalništvo, tehnologija in finančne storitve so bile vse tarča dokumentiranih kampanj. En sam zaposleni, ki skenira napačno kodo, lahko odpre vrata kraji poverilnic, finančnim goljufijam ali popolni kršitvi omrežja.

9. Kako prevare z QR kodami ciljajo na podjetja

10. Razumevanje metod, ki jih uporabljajo kriminalci, je prvi korak k izgradnji učinkovite obrambe. Quishing napadi običajno sledijo enemu od več vzorcev:

11. Phishing e-poštna sporočila z vdelanimi QR kodami. 12. Napadalci pošiljajo e-poštna sporočila, ki vsebujejo QR kode, ki prejemnike preusmerijo na prepričljive lažne prijavne strani – pogosto posnemajo Microsoft 365, bančne portale ali interne sisteme. Ker je zlonamerna povezava skrita znotraj slike in ni vnesena kot besedilo, je mnogi filtri za e-poštno varnost ne zaznajo.

13. Fizična zamenjava kode. 14. Kriminalci natisnejo goljufive nalepke z QR kodami in jih namestijo čez legitimne kode na oznakah, plačilnih terminalih, menijih, parkirnih avtomatih ali embalaži izdelkov. Žrtve skenirajo, kar se zdi uradna koda, in so preusmerjene na lažno spletno stran. V Austinu v Teksasu je policija odkrila 29 lažnih QR kod, nameščenih na mestnih parkirnih avtomatih. V Yorku v Združenem kraljestvu, 15. lažne QR kode na parkirnih oznakah so preusmerile voznike na klonirane plačilne strani, pri čemer so nekatere žrtve izgubile do 400 £., with some victims losing up to £400.

Neproseni paketi in pošta. Poštna inšpekcijska služba Združenih držav Amerike opozarja, da prevaranti pošiljajo nepričakovane pakete, ki vsebujejo majhna darila skupaj s QR kodami, in prosijo prejemnike, naj skenirajo kodo za “registracijo” predmeta. Skeniranje vodi na lažno spletno stran, ki zahteva osebne ali finančne podatke.

Lažno predstavljanje zaupanja vrednih organizacij. Napadalci se preoblečejo v vladne agencije, banke, dostavne službe ali druga znana podjetja, da ustvarijo nujnost in znižajo tarčino obrambo, preden se QR koda skenira.

Opozorilni znaki lažne QR kode

V samem vzorcu QR kode ni zanesljive vizualne razlike, ki bi dosledno ločevala zlonamerno kodo od legitimne. Namesto tega mora vaša ekipa oceniti kontekst in vedenje okoli kode. Usposobite zaposlene, da naslednje obravnavajo kot rdeče zastavice:

• Znaki fizičnega poseganja: Koda je videti kot nalepka, je prilepljena, izgleda opraskana ali pikselizirana, je neporavnana ali je jasno nameščena čez drugo natisnjeno kodo.
• Brez jasnega konteksta ali blagovne znamke: Koda se pojavi na naključni površini, nima razlage svojega namena ali ji manjka dosledna blagovna znamka organizacije, ki jo domnevno predstavlja.
• Nujen ali visokotlačni jezik: Okoliško besedilo zahteva takojšnje ukrepanje, plačilo ali prijavo brez jasnega legitimnega razloga.
• Neskladnosti blagovne znamke: Napačno črkovanje, neujemajoči se logotipi, nenavadne barve ali dizajn, ki se ne ujema z običajnim videzom organizacije.
• Sumljiv URL predogleda: Po skeniranju se prikazani URL ne ujema s pričakovano domeno, je skrajšan, napačno črkovan ali mu manjka HTTPS (brez ikone ključavnice v brskalniku).
• Nepričakovane zahteve za občutljive informacije: Stran zahteva gesla, podatke o plačilu ali osebne podatke brez jasnega, pričakovanega razloga.
• Nezaželena dostava: QR koda je prispela v e-poštnem sporočilu, SMS sporočilu ali paketu, ki ga niste pričakovali – še posebej s sporočilom, ki vas je pozivalo k hitremu ukrepanju.

Za podrobnejši vpogled v prepoznavanje ogroženih kod, je vodnik po najboljših praksah za varnost QR kod v kibernetski obrambi podrobno zajema odkrivanje in odzivanje na incidente.

Kako zaščititi svoje podjetje: Praktični kontrolni seznam

Zaščita vaše organizacije pred prevarami z QR kodami zahteva večplastno obrambo – noben posamezen ukrep ni dovolj sam po sebi. FBI priporoča večplastno strategijo, ki združuje izobraževanje zaposlenih, tehnične kontrole, močno avtentikacijo in stalno spremljanje.

Usposobite zaposlene za prepoznavanje 'quishinga'

Človeška napaka ostaja najbolj izkoriščena ranljivost pri napadih z QR kodami. Redno, praktično usposabljanje bi moralo zajemati:

• Nikoli ne skenirajte QR kod iz nepričakovanih e-poštnih sporočil, SMS sporočil, paketov ali letakov – tudi če se zdi, da prihajajo iz zaupanja vrednega vira
• Vedno predogledajte URL pred odprtjem po skeniranju in preverite morebitne napačne črkovanje, neujemajoče se domene ali manjkajoči HTTPS
• Fizično preglejte QR kode na delovnem mestu za znake poseganja, še posebej na plačilnih terminalih, signalizaciji ali tiskanih materialih
• Preverjanje vira QR kode prek ločenega, zaupanja vrednega kanala, preden vnesete kakršne koli poverilnice ali podatke o plačilu
• Takojšnje poročanje o sumljivih QR kodah prek jasnega internega postopka eskalacije

FBI posebej priporoča vzpostavitev formalnih notranjih protokolov za poročanje o sumljivih kodah, da se incidenti lahko hitro stopnjujejo in obravnavajo.

Implementirajte močno avtentikacijo in nadzor dostopa

Poverilnice, ukradene z napadi quishinga, lahko povzročijo resno škodo le, če omogočajo nepreverjen dostop. FBI in organi za kibernetsko varnost priporočajo:

• Zahtevanje večfaktorske avtentikacije (MFA), odporne proti lažnemu predstavljanju za ves oddaljeni dostop in občutljive sisteme
• Uporaba nadzora dostopa na podlagi vlog, tako da lahko zaposleni dostopajo le do sistemov in podatkov, ki so pomembni za njihovo vlogo
• Razmislek o strategiji ničelnega zaupanja, ki nenehno preverja zahteve za dostop, namesto da bi podeljevala splošno zaupanje omrežju

Posodabljajte sisteme in programsko opremo

Tehnični varnostni ukrepi zmanjšujejo napadalno površino, ki je na voljo kriminalcem. Zagotovite, da vaša organizacija vzdržuje:

• Posodobljene operacijske sisteme, protivirusno programsko opremo in varnostne popravke na vseh napravah
• Aktivne filtre za neželeno pošto in splet na e-poštnih in omrežnih sistemih
• Močne zahteve za gesla za vse račune

FTC svetuje posodabljanje operacijskih sistemov telefonov posebej za zaščito pred zlonamerno programsko opremo, dostavljeno prek QR kod.

Zavarujte QR kode, ki jih vaše podjetje ustvarja in uporablja

Vaše lastne QR kode lahko postanejo vektorji za goljufije, če niso pravilno upravljane. Prevzem nadzora nad vašimi kodami je eden najneposrednejših načinov za zaščito tako vaših strank kot vašega ugleda.

Uporabite dinamične QR kode namesto statičnih. Za razliko od statičnih kod, dinamične QR kode jih je mogoče urejati, spremljati in deaktivirati, potem ko so natisnjene. Če je koda spremenjena ali preusmerjena na zlonamerno destinacijo, jo lahko posodobite ali onemogočite, ne da bi morali karkoli ponovno tiskati. Statične kode so nasprotno trajne – če je destinacija ogrožena, je ni mogoče popraviti.

Uporabite lastno blagovno znamko za vsako kodo. Kode z vašim logotipom, barvami blagovne znamke in vizualno identiteto so za kriminalce bistveno težje prepričljivo posnemati. Kode z blagovno znamko strankam in zaposlenim nudijo tudi vizualno referenčno točko – če koda ne izgleda pravilno, izstopa. To je ključno priporočilo iz varno generiranje QR kode najboljše prakse.

Vedno povežite na HTTPS destinacije. Zagotovite, da vsaka QR koda, ki jo objavite, vodi na spletno mesto z veljavnim SSL certifikatom. Izogibajte se HTTP destinacijam za vse kode, ki se uporabljajo pri plačilih, prijavnih postopkih ali zbiranju podatkov.

Spremljajte dejavnost skeniranja za anomalije. Analitika v realnem času vam omogoča, da opazite nenavadne vzorce – nenadne skoke v obsegu skeniranja, geografske anomalije ali nepričakovane vrste naprav – ki lahko kažejo, da je bila koda ogrožena ali zamenjana. Orodja za sledenje kodi QR vas lahko opozori na te signale, preden nastane znatna škoda.

Redno fizično pregledujte nameščene kode. Načrtujte redne preglede vseh QR kod, prikazanih na javnih mestih. Fotografirajte vsako kodo, ko je prvič nameščena, da imate referenco za primerjavo. Iščite znake prekrivnih nalepk, neporavnanosti ali poseganja.

Zaščitite svoje kode s spremljanjem v realnem času Želite zaznati sumljivo dejavnost skeniranja, preden postane resen problem? Uporabite QR generator za dinamične QR kode za ustvarjanje urejevalnih, sledljivih kod z vgrajeno analitiko – in takoj posodobite ali onemogočite katero koli kodo, če se zdi, da je nekaj narobe.

Zaščitite svoje stranke na mestu skeniranja

Če vaše podjetje prikazuje QR kode za plačila, menije ali interakcije s strankami, sprejmite ukrepe, da strankam pomagate preveriti, ali skenirajo legitimno kodo:

• Prikažite jasna navodila blizu vsake kode, ki pojasnjujejo, kam vodi in katere informacije bodo stranke pozvane, da jih posredujejo
• Dodajte vidno blagovno znamko in ime domene, da lahko stranke preverijo destinacijo pred interakcijo
• Zagotovite alternativno metodo za dostop do istih informacij (neposreden URL, natisnjen meni itd.), tako da strankam nikoli ni treba skenirati, če so negotove
• Objavite vidna obvestila, ki spodbujajo stranke, da prijavijo sumljive kode vaši ekipi

Za več o zmanjševanju tveganj QR kod v plačilnih kontekstih, vključno z industrijsko specifičnimi navodili za maloprodajo in e-trgovino, glejte namenski vodnik za varnost plačil.

Ko se zgodi incident: Kaj storiti

Če zaposleni ali stranka prijavi potencialno ogroženo QR kodo, ukrepajte takoj:

• Onemogočite ali posodobite prizadeto dinamično QR kodo, tako da ne usmerja več na zlonamerno destinacijo
• Dokumentirajte incident in ohranite dokaze za preiskavo
• Obvestite prizadete stranke, da lahko spremljajo račune in spremenijo gesla
• Prijavite incident ustreznim organom – Centru za pritožbe glede internetnega kriminala FBI (IC3) za kibernetske goljufije, povezane s poslovanjem, in FTC za goljufije, usmerjene v potrošnike
• Preglejte svoje druge nameščene kode, da preverite podobno poseganje

Imeti načrt odzivanja na incidente, preden gre kaj narobe, je veliko manj stroškovno kot improviziranje pod pritiskom.

Pogosta vprašanja