Kako zaštititi svoje poslovanje od prevara sa QR kodovima

1. Da li QR kodovi dovode vaše poslovanje u rizik? Lažni QR kodovi su sve češći alat za sajber kriminalce koji ciljaju kompanije svih veličina – a većina zaposlenih ne zna kako da ih prepozna. Ovaj vodič objašnjava kako funkcionišu prevare sa QR kodovima, koje znakove upozorenja treba tražiti i koje konkretne korake vaše poslovanje može preduzeti da ostane zaštićeno.

2. Zašto su prevare sa QR kodovima rastuća poslovna pretnja

3. QR kodovi su postali rutinski deo poslovanja – plaćanja, meniji, marketinški materijali, prijave za događaje i još mnogo toga. Ta poznatost je upravo ono što ih čini privlačnim kriminalcima.

4. Ova vrsta napada je poznata kao 5. kvišing 6. (fišing sa QR kodovima). Prevaranti kreiraju ili manipulišu QR kodovima kako bi preusmerili ljude na lažne veb-sajtove dizajnirane da ukradu akreditive za prijavu, detalje o plaćanju ili druge osetljive podatke – ili da tiho instaliraju malver na njihov uređaj.

7. Razmere su značajne. Između maja i jula 2023. godine, kampanja fišinga sa QR kodovima koja je ciljala Microsoft akreditive porasla je za više od 2.400%. Analiza trendova između Q4 2023. i Q1 2024. otkrila je povećanje od 433% u referencama na fišing sa QR kodovima. Rukovodioci su posebno ugroženi, primajući 42 puta više napada putem QR kodova od ostalih zaposlenih zbog njihovog šireg pristupa resursima kompanije.

8. Nijedna industrija nije imuna. Energetika, proizvodnja, osiguranje, tehnologija i finansijske usluge su sve bile mete u dokumentovanim kampanjama. Jedan zaposleni koji skenira pogrešan kod može otvoriti vrata krađi akreditiva, finansijskoj prevari ili potpunom proboju mreže.

9. Kako prevare sa QR kodovima ciljaju preduzeća

10. Razumevanje metoda koje kriminalci koriste je prvi korak ka izgradnji efikasne odbrane. Kvišing napadi uglavnom prate jedan od nekoliko obrazaca:

11. Fišing imejlovi sa ugrađenim QR kodovima. 12. Napadači šalju imejlove koji sadrže QR kodove koji preusmeravaju primaoce na uverljive lažne stranice za prijavu – često imitirajući Microsoft 365, bankarske portale ili interne sisteme. Budući da je zlonamerni link skriven unutar slike, a ne napisan kao tekst, mnogi filteri za bezbednost imejla ga ne uspevaju uhvatiti.

13. Fizička zamena koda. 14. Kriminalci štampaju lažne nalepnice sa QR kodovima i postavljaju ih preko legitimnih kodova na natpisima, terminalima za plaćanje, menijima, parking aparatima ili pakovanju proizvoda. Žrtve skeniraju ono što izgleda kao zvanični kod i bivaju preusmerene na lažni sajt. U Ostinu u Teksasu, policija je otkrila 29 lažnih QR kodova postavljenih na gradskim parking aparatima. U Jorku, UK, 15. lažni QR kodovi na parking signalizaciji preusmeravali su vozače na klonirane sajtove za plaćanje, with some victims losing up to £400.

Neželjeni paketi i pošta. Poštanska inspekcijska služba Sjedinjenih Država upozorava da prevaranti šalju neočekivane pakete koji sadrže male poklone zajedno sa QR kodovima, tražeći od primalaca da skeniraju kod kako bi “registrovali” predmet. Skeniranje vodi do lažnog sajta koji traži lične ili finansijske podatke.

Lažno predstavljanje pouzdanih organizacija. Napadači se maskiraju u vladine agencije, banke, službe za dostavu ili druge poznate kompanije kako bi stvorili hitnost i spustili oprez mete pre nego što se QR kod skenira.

Znakovi upozorenja za lažni QR kod

Ne postoji pouzdana vizuelna razlika u samom QR obrascu koja dosledno razlikuje zlonamerni kod od legitimnog. Umesto toga, vaš tim treba da proceni kontekst i ponašanje oko koda. Obučite zaposlene da sledeće tretiraju kao crvene zastavice:

• Znakovi fizičkog oštećenja: Kod se pojavljuje kao nalepnica, zalepljen je, izgleda izgreban ili pikselizovan, pogrešno je poravnat ili je jasno postavljen preko drugog odštampanog koda.
• Nema jasnog konteksta ili brendiranja: Kod se pojavljuje na nasumičnoj površini, nema objašnjenja svoje svrhe ili mu nedostaje dosledno brendiranje organizacije koju tvrdi da predstavlja.
• Hitan ili jezik visokog pritiska: Okolni tekst zahteva hitnu akciju, plaćanje ili prijavu bez jasnog legitimnog razloga.
• Nedoslednosti u brendiranju: Pravopisne greške, neusklađeni logotipi, neobične boje ili dizajn koji se ne podudara sa uobičajenim izgledom organizacije.
• Sumnjiv URL za pregled: Nakon skeniranja, prikazani URL se ne podudara sa očekivanim domenom, skraćen je, pogrešno napisan ili mu nedostaje HTTPS (nema ikone katanca u pretraživaču).
• Neočekivani zahtevi za osetljive informacije: Stranica traži lozinke, detalje o plaćanju ili lične podatke bez jasnog, očekivanog razloga.
• Neželjena isporuka: QR kod je stigao u e-poruci, tekstualnoj poruci ili paketu koji niste očekivali – posebno sa porukom koja vas podstiče da brzo reagujete.

Za dublji uvid u identifikaciju kompromitovanih kodova, vodič za najbolje prakse za bezbednost QR kodova u sajber odbrani detaljno pokriva detekciju i odgovor na incidente.

Kako zaštititi svoje poslovanje: Praktična lista

Zaštita vaše organizacije od prevara sa QR kodovima zahteva višeslojnu odbranu – nijedna pojedinačna mera nije dovoljna sama po sebi. FBI preporučuje višeslojnu strategiju koja kombinuje edukaciju zaposlenih, tehničke kontrole, jaku autentifikaciju i kontinuirano praćenje.

Obučite zaposlene da prepoznaju "quishing"

Ljudska greška ostaje najviše eksploatisana ranjivost u napadima na QR kodove. Redovna, praktična obuka treba da obuhvati:

• Nikada ne skenirati QR kodove iz neočekivanih e-poruka, tekstualnih poruka, paketa ili letaka – čak i ako izgledaju da dolaze iz pouzdanog izvora
• Uvek pregledati URL pre otvaranja nakon skeniranja i proveriti da li ima grešaka u kucanju, nepodudarnih domena ili nedostajućeg HTTPS-a
• Fizički pregledati QR kodove na radnom mestu radi znakova manipulacije, posebno na terminalima za plaćanje, natpisima ili štampanim materijalima
• Proveriti izvor QR koda putem zasebnog, pouzdanog kanala pre unosa bilo kakvih akreditiva ili informacija o plaćanju
• Odmah prijaviti sve sumnjive QR kodove putem jasnog internog procesa eskalacije

FBI posebno preporučuje uspostavljanje formalnih internih protokola za prijavljivanje sumnjivih kodova kako bi se incidenti mogli brzo eskalirati i rešiti.

Implementirajte snažnu autentifikaciju i kontrole pristupa

Akreditivi ukradeni putem quishing napada mogu izazvati ozbiljnu štetu samo ako omoguće nekontrolisan pristup. FBI i vlasti za sajber bezbednost preporučuju:

• Zahtevanje višefaktorske autentifikacije (MFA) otporne na fišing za sav daljinski pristup i osetljive sisteme
• Primena kontrola pristupa zasnovanih na ulogama tako da zaposleni mogu pristupiti samo sistemima i podacima relevantnim za njihovu ulogu
• Razmatranje strategije nultog poverenja koja kontinuirano proverava zahteve za pristup umesto da daje opšte poverenje mreži

Održavajte sisteme i softver ažuriranim

Tehničke zaštitne mere smanjuju površinu napada dostupnu kriminalcima. Osigurajte da vaša organizacija održava:

• Ažurirane operativne sisteme, antivirusni softver i bezbednosne zakrpe na svim uređajima
• Aktivne filtere za spam i veb na sistemima e-pošte i mreže
• Snažne zahteve za lozinke na svim nalozima

FTC savetuje ažuriranje operativnih sistema telefona posebno radi zaštite od malvera isporučenog putem QR kodova.

Obezbedite QR kodove koje vaša firma kreira i primenjuje

Vaši sopstveni QR kodovi mogu postati vektori za prevaru ako se njima ne upravlja pravilno. Preuzimanje kontrole nad vašim kodovima je jedan od najdirektnijih načina da zaštitite i svoje klijente i svoju reputaciju.

Koristite dinamičke QR kodove umesto statičkih. Za razliku od statičkih kodova, dinamički QR kodovi mogu se uređivati, pratiti i deaktivirati nakon što su odštampani. Ako je kod neovlašćeno izmenjen ili preusmeren na zlonamernu destinaciju, možete ga ažurirati ili onemogućiti bez ponovnog štampanja bilo čega. Statički kodovi su, nasuprot tome, trajni – ako je destinacija kompromitovana, ne postoji način da se to ispravi.

Primenite prilagođeno brendiranje na svaki kod. Kodovi sa vašim logotipom, bojama brenda i vizuelnim identitetom su značajno teži za uverljivo repliciranje od strane kriminalaca. Brendirani kodovi takođe daju kupcima i zaposlenima vizuelnu referentnu tačku – ako kod ne izgleda ispravno, to se ističe. Ovo je ključna preporuka od bezbedne najbolje prakse za generisanje QR koda.

Uvek povežite na HTTPS destinacije. Osigurajte da svaki QR kod koji objavite vodi do sajta sa važećim SSL sertifikatom. Izbegavajte HTTP destinacije za bilo koji kod koji se koristi za plaćanja, procese prijave ili prikupljanje podataka.

Pratite aktivnost skeniranja za anomalije. Analitika u realnom vremenu vam omogućava da uočite neobične obrasce – iznenadne skokove u broju skeniranja, geografske anomalije ili neočekivane tipove uređaja – koji mogu ukazivati na to da je kod kompromitovan ili zamenjen. Алати за праћење КР кода može vas upozoriti na ove signale pre nego što nastane značajna šteta.

Fizički pregledajte postavljene kodove redovno. Zakažite rutinske provere svih QR kodova prikazanih na javnim mestima. Fotografišite svaki kod kada je prvi put postavljen kako biste imali referencu za poređenje. Potražite znakove prelepljenih nalepnica, neusklađenosti ili neovlašćenog menjanja.

Zaštitite svoje kodove uz praćenje u realnom vremenu Želite da otkrijete sumnjivu aktivnost skeniranja pre nego što postane ozbiljan problem? Koristite Dinamički QR kod generator za kreiranje kodova koji se mogu uređivati i pratiti sa ugrađenom analitikom – i odmah ažurirajte ili onemogućite bilo koji kod ako nešto izgleda pogrešno.

Zaštitite svoje kupce na mestu skeniranja

Ako vaše preduzeće prikazuje QR kodove za plaćanja, menije ili interakcije sa klijentima, preduzmite korake da pomognete klijentima da provere da li skeniraju legitiman kod:

• Prikažite jasna uputstva pored svakog koda objašnjavajući čemu vodi i koje informacije će klijenti biti zamoljeni da pruže
• Dodajte vidljiv brending i naziv domena kako bi klijenti mogli da provere odredište pre interakcije
• Obezbedite alternativni metod za pristup istim informacijama (direktan URL, štampani meni, itd.) kako klijenti nikada ne bi bili primorani da skeniraju ako su nesigurni
• Istaknite vidljiva obaveštenja podstičući klijente da prijave sumnjive kodove vašem timu

Za više o smanjenju rizika QR kodova u kontekstu plaćanja, uključujući smernice specifične za industriju za maloprodaju i e-trgovinu, pogledajte posvećeni vodič za sigurnost plaćanja.

Kada se incident dogodi: Šta učiniti

Ako zaposleni ili klijent prijavi potencijalno kompromitovan QR kod, reagujte odmah:

• Onemogućite ili ažurirajte pogođeni dinamički QR kod tako da više ne vodi ka zlonamernom odredištu
• Dokumentujte incident i sačuvajte dokaze za istragu
• Obavestite pogođene strane kako bi mogle da prate naloge i promene lozinke
• Prijavite incident relevantnim vlastima – Centru za žalbe na internet kriminal FBI-ja (IC3) za sajber prevare povezane sa poslovanjem, i FTC-u za prevare usmerene na potrošače
• Pregledajte vaše druge postavljene kodove da proverite slične manipulacije

Imati plan reagovanja na incidente pre nego što nešto krene po zlu je daleko manje skupo nego improvizovati pod pritiskom.

Često postavljana pitanja