วิธีปกป้องธุรกิจของคุณจากการหลอกลวงด้วยรหัส QR

1. QR โค้ดกำลังทำให้ธุรกิจของคุณตกอยู่ในความเสี่ยงหรือไม่? QR โค้ดปลอมเป็นเครื่องมือที่อาชญากรไซเบอร์ใช้กันมากขึ้นเรื่อยๆ เพื่อโจมตีบริษัททุกขนาด และพนักงานส่วนใหญ่ไม่รู้วิธีสังเกตเห็นมัน คู่มือนี้จะอธิบายว่าการหลอกลวงด้วย QR โค้ดทำงานอย่างไร สัญญาณเตือนที่ควรระวัง และขั้นตอนเฉพาะที่ธุรกิจของคุณสามารถทำได้เพื่อป้องกันตนเอง.

2. ทำไมการหลอกลวงด้วย QR โค้ดจึงเป็นภัยคุกคามทางธุรกิจที่เพิ่มขึ้น

3. QR โค้ดได้กลายเป็นส่วนหนึ่งของการดำเนินธุรกิจตามปกติ ไม่ว่าจะเป็นการชำระเงิน เมนู สื่อการตลาด การเช็คอินงานอีเวนต์ และอื่นๆ ความคุ้นเคยนี้เองที่ทำให้พวกมันน่าดึงดูดสำหรับอาชญากร.

4. การโจมตีประเภทนี้เรียกว่า 5. quishing 6. (การฟิชชิ่งด้วย QR โค้ด) ผู้หลอกลวงสร้างหรือแก้ไข QR โค้ดเพื่อเปลี่ยนเส้นทางผู้คนไปยังเว็บไซต์ปลอมที่ออกแบบมาเพื่อขโมยข้อมูลประจำตัวในการเข้าสู่ระบบ รายละเอียดการชำระเงิน หรือข้อมูลที่ละเอียดอ่อนอื่นๆ หรือเพื่อติดตั้งมัลแวร์บนอุปกรณ์ของพวกเขาอย่างเงียบๆ.

7. ขนาดของปัญหามีความสำคัญ ระหว่างเดือนพฤษภาคมถึงกรกฎาคม 2023 แคมเปญฟิชชิ่งด้วย QR โค้ดที่มุ่งเป้าไปที่ข้อมูลประจำตัวของ Microsoft เติบโตขึ้นมากกว่า 2,400% การวิเคราะห์แนวโน้มระหว่างไตรมาส 4 ปี 2023 และไตรมาส 1 ปี 2024 พบว่ามีการอ้างอิงถึงการฟิชชิ่งด้วย QR โค้ดเพิ่มขึ้น 433% ผู้บริหารมีความเสี่ยงเป็นพิเศษ โดยได้รับการโจมตีด้วย QR โค้ดมากกว่าพนักงานคนอื่นๆ ถึง 42 เท่า เนื่องจากพวกเขามีสิทธิ์เข้าถึงทรัพยากรของบริษัทในวงกว้างกว่า.

8. ไม่มีอุตสาหกรรมใดรอดพ้น อุตสาหกรรมพลังงาน การผลิต ประกันภัย เทคโนโลยี และบริการทางการเงิน ล้วนตกเป็นเป้าหมายในแคมเปญที่มีการบันทึกไว้ พนักงานเพียงคนเดียวที่สแกนโค้ดผิดอาจเปิดประตูสู่การขโมยข้อมูลประจำตัว การฉ้อโกงทางการเงิน หรือการเจาะเครือข่ายทั้งหมด.

9. การหลอกลวงด้วย QR โค้ดโจมตีธุรกิจได้อย่างไร

10. การทำความเข้าใจวิธีการที่อาชญากรใช้เป็นขั้นตอนแรกในการสร้างการป้องกันที่มีประสิทธิภาพ การโจมตีแบบ Quishing โดยทั่วไปจะดำเนินไปตามรูปแบบใดรูปแบบหนึ่งดังต่อไปนี้:

11. อีเมลฟิชชิ่งที่มี QR โค้ดฝังอยู่. 12. ผู้โจมตีส่งอีเมลที่มี QR โค้ดซึ่งนำผู้รับไปยังหน้าเข้าสู่ระบบปลอมที่น่าเชื่อถือ ซึ่งมักจะเลียนแบบ Microsoft 365, พอร์ทัลธนาคาร หรือระบบภายใน เนื่องจากลิงก์ที่เป็นอันตรายถูกซ่อนอยู่ในรูปภาพแทนที่จะพิมพ์เป็นข้อความ ตัวกรองความปลอดภัยอีเมลจำนวนมากจึงไม่สามารถตรวจจับได้.

13. การเปลี่ยนโค้ดทางกายภาพ. 14. อาชญากรพิมพ์สติกเกอร์ QR โค้ดปลอมและนำไปติดทับโค้ดที่ถูกต้องบนป้ายประกาศ เครื่องชำระเงิน เมนู มิเตอร์จอดรถ หรือบรรจุภัณฑ์สินค้า เหยื่อสแกนสิ่งที่ดูเหมือนเป็นโค้ดทางการและถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ปลอม ในเมืองออสติน รัฐเท็กซัส ตำรวจพบ QR โค้ดปลอม 29 อันที่ติดอยู่บนมิเตอร์จอดรถของเมือง ในเมืองยอร์ก สหราชอาณาจักร, 15. QR โค้ดปลอมบนป้ายจอดรถเปลี่ยนเส้นทางผู้ขับขี่ไปยังเว็บไซต์ชำระเงินที่ถูกโคลนขึ้นมา, with some victims losing up to £400.

พัสดุและจดหมายที่ไม่พึงประสงค์. หน่วยงานตรวจสอบไปรษณีย์สหรัฐฯ เตือนว่านักต้มตุ๋นส่งพัสดุที่ไม่คาดคิดซึ่งมีของขวัญเล็กๆ น้อยๆ พร้อมกับรหัส QR โดยขอให้ผู้รับสแกนรหัสเพื่อ “ลงทะเบียน” รายการ การสแกนจะนำไปสู่เว็บไซต์ปลอมที่ขอข้อมูลส่วนบุคคลหรือข้อมูลทางการเงิน.

การแอบอ้างองค์กรที่น่าเชื่อถือ. ผู้โจมตีปลอมตัวเป็นหน่วยงานรัฐบาล ธนาคาร บริการจัดส่ง หรือบริษัทที่มีชื่อเสียงอื่นๆ เพื่อสร้างความเร่งด่วนและลดการระมัดระวังของเป้าหมายก่อนที่จะสแกนรหัส QR.

สัญญาณเตือนของรหัส QR ที่ฉ้อโกง

ไม่มีข้อแตกต่างทางสายตาที่เชื่อถือได้ในรูปแบบ QR เองที่สามารถแยกแยะรหัสที่เป็นอันตรายออกจากรหัสที่ถูกต้องได้ อย่างไรก็ตาม ทีมของคุณจำเป็นต้องประเมินบริบทและพฤติกรรมรอบๆ รหัส ฝึกอบรมพนักงานให้ถือว่าสิ่งต่อไปนี้เป็นสัญญาณอันตราย:

• สัญญาณของการดัดแปลงทางกายภาพ: รหัสปรากฏเป็นสติกเกอร์ ถูกแปะไว้ ดูมีรอยขีดข่วนหรือเป็นพิกเซล จัดวางไม่ตรงแนว หรือถูกวางทับรหัสที่พิมพ์ไว้อีกอันอย่างชัดเจน.
• ไม่มีบริบทหรือแบรนด์ที่ชัดเจน: รหัสปรากฏบนพื้นผิวแบบสุ่ม ไม่มีการอธิบายวัตถุประสงค์ หรือขาดแบรนด์ที่สอดคล้องกันจากองค์กรที่อ้างว่าตนเป็นตัวแทน.
• ภาษาที่เร่งด่วนหรือกดดันสูง: ข้อความรอบข้างเรียกร้องให้ดำเนินการทันที ชำระเงิน หรือเข้าสู่ระบบโดยไม่มีเหตุผลที่ถูกต้องชัดเจน.
• ความไม่สอดคล้องกันของแบรนด์: การสะกดผิด โลโก้ที่ไม่ตรงกัน สีที่ผิดปกติ หรือการออกแบบที่ไม่ตรงกับรูปลักษณ์ปกติขององค์กร.
• URL แสดงตัวอย่างที่น่าสงสัย: หลังจากสแกนแล้ว URL ที่แสดงไม่ตรงกับโดเมนที่คาดไว้ ถูกย่อให้สั้นลง สะกดผิด หรือไม่มี HTTPS (ไม่มีไอคอนแม่กุญแจในเบราว์เซอร์).
• การร้องขอข้อมูลที่ละเอียดอ่อนโดยไม่คาดคิด: หน้าเว็บขอรหัสผ่าน รายละเอียดการชำระเงิน หรือข้อมูลส่วนบุคคลโดยไม่มีเหตุผลที่ชัดเจนและคาดหวังได้.
• การจัดส่งที่ไม่พึงประสงค์: รหัส QR มาถึงในอีเมล ข้อความ หรือพัสดุที่คุณไม่ได้คาดหวัง โดยเฉพาะอย่างยิ่งพร้อมข้อความที่กระตุ้นให้คุณดำเนินการอย่างรวดเร็ว.

สำหรับการเจาะลึกในการระบุรหัสที่ถูกบุกรุก คู่มือแนวทางปฏิบัติที่ดีที่สุดสำหรับความปลอดภัยของรหัส QR ในการป้องกันทางไซเบอร์ ครอบคลุมการตรวจจับและการตอบสนองต่อเหตุการณ์โดยละเอียด.

วิธีปกป้องธุรกิจของคุณ: รายการตรวจสอบเชิงปฏิบัติ

การปกป้ององค์กรของคุณจากการหลอกลวงด้วยรหัส QR ต้องใช้การป้องกันหลายชั้น – ไม่มีมาตรการใดเพียงอย่างเดียวที่เพียงพอ FBI แนะนำกลยุทธ์หลายชั้นที่รวมการให้ความรู้แก่พนักงาน การควบคุมทางเทคนิค การยืนยันตัวตนที่แข็งแกร่ง และการตรวจสอบอย่างต่อเนื่อง.

ฝึกอบรมพนักงานให้รู้จัก Quishing

ข้อผิดพลาดของมนุษย์ยังคงเป็นช่องโหว่ที่ถูกใช้ประโยชน์มากที่สุดในการโจมตีด้วยรหัส QR การฝึกอบรมเชิงปฏิบัติอย่างสม่ำเสมอควรรวมถึง:

• ห้ามสแกนรหัส QR จากอีเมล ข้อความ พัสดุ หรือใบปลิวที่ไม่คาดคิด – แม้ว่าจะดูเหมือนมาจากแหล่งที่เชื่อถือได้ก็ตาม
• ตรวจสอบ URL ทุกครั้งก่อนเปิดหลังจากสแกน และตรวจสอบการสะกดผิด โดเมนที่ไม่ตรงกัน หรือ HTTPS ที่หายไป
• ตรวจสอบรหัส QR ในที่ทำงานด้วยตนเองเพื่อหาสัญญาณของการดัดแปลง โดยเฉพาะอย่างยิ่งบนเครื่องรับชำระเงิน ป้าย หรือวัสดุสิ่งพิมพ์
• ตรวจสอบแหล่งที่มาของรหัส QR ผ่านช่องทางที่แยกต่างหากและเชื่อถือได้ก่อนที่จะป้อนข้อมูลประจำตัวหรือข้อมูลการชำระเงินใดๆ
• รายงานรหัส QR ที่น่าสงสัยทันทีผ่านกระบวนการแจ้งเตือนภายในที่ชัดเจน

FBI แนะนำโดยเฉพาะให้จัดทำระเบียบปฏิบัติภายในที่เป็นทางการสำหรับการรายงานรหัสที่น่าสงสัย เพื่อให้เหตุการณ์สามารถยกระดับและแก้ไขได้อย่างรวดเร็ว.

ใช้การยืนยันตัวตนที่แข็งแกร่งและการควบคุมการเข้าถึง

ข้อมูลประจำตัวที่ถูกขโมยผ่านการโจมตีแบบ quishing จะก่อให้เกิดความเสียหายร้ายแรงได้ก็ต่อเมื่อข้อมูลเหล่านั้นให้สิทธิ์การเข้าถึงที่ไม่ถูกตรวจสอบ FBI และหน่วยงานด้านความปลอดภัยทางไซเบอร์แนะนำ:

• กำหนดให้ การยืนยันตัวตนแบบหลายปัจจัย (MFA) ที่ทนทานต่อฟิชชิ่ง สำหรับการเข้าถึงระยะไกลและระบบที่ละเอียดอ่อนทั้งหมด
• ใช้การควบคุมการเข้าถึงตามบทบาท เพื่อให้พนักงานสามารถเข้าถึงได้เฉพาะระบบและข้อมูลที่เกี่ยวข้องกับบทบาทของตนเท่านั้น
• พิจารณากลยุทธ์ Zero-Trust ที่ตรวจสอบคำขอเข้าถึงอย่างต่อเนื่อง แทนที่จะให้ความไว้วางใจเครือข่ายแบบครอบคลุม

อัปเดตระบบและซอฟต์แวร์อยู่เสมอ

มาตรการป้องกันทางเทคนิคลดพื้นที่การโจมตีที่อาชญากรสามารถใช้ได้ ตรวจสอบให้แน่ใจว่าองค์กรของคุณรักษาสิ่งเหล่านี้ไว้:

• ระบบปฏิบัติการ ซอฟต์แวร์ป้องกันไวรัส และแพตช์ความปลอดภัยที่อัปเดตอยู่เสมอในอุปกรณ์ทั้งหมด
• ตัวกรองสแปมและเว็บที่ทำงานอยู่บนระบบอีเมลและเครือข่าย
• ข้อกำหนดรหัสผ่านที่แข็งแกร่งในทุกบัญชี

FTC แนะนำให้อัปเดตระบบปฏิบัติการโทรศัพท์โดยเฉพาะเพื่อป้องกันมัลแวร์ที่ส่งผ่านรหัส QR.

รักษาความปลอดภัยของรหัส QR ที่ธุรกิจของคุณสร้างและใช้งาน

รหัส QR ของคุณเองอาจกลายเป็นช่องทางสำหรับการฉ้อโกงได้หากไม่ได้รับการจัดการอย่างเหมาะสม การควบคุมรหัสของคุณเป็นหนึ่งในวิธีที่ตรงที่สุดในการปกป้องทั้งลูกค้าและชื่อเสียงของคุณ.

ใช้คิวอาร์โค้ดแบบไดนามิกแทนแบบคงที่. ต่างจากคิวอาร์โค้ดแบบคงที่, คิวอาร์โค้ดแบบไดนามิก สามารถแก้ไข ตรวจสอบ และปิดใช้งานได้หลังจากพิมพ์แล้ว หากโค้ดถูกแก้ไขหรือเปลี่ยนเส้นทางไปยังปลายทางที่เป็นอันตราย คุณสามารถอัปเดตหรือปิดใช้งานได้โดยไม่ต้องพิมพ์ซ้ำ คิวอาร์โค้ดแบบคงที่นั้นถาวร – หากปลายทางถูกบุกรุก จะไม่มีทางแก้ไขได้.

ใช้การสร้างแบรนด์แบบกำหนดเองกับทุกโค้ด. โค้ดที่มีโลโก้ สีแบรนด์ และเอกลักษณ์ทางภาพของคุณ ทำให้ผู้ร้ายเลียนแบบได้ยากขึ้นอย่างมาก โค้ดที่มีแบรนด์ยังให้จุดอ้างอิงทางสายตาแก่ลูกค้าและพนักงาน – หากโค้ดดูไม่ถูกต้อง ก็จะสังเกตเห็นได้ชัดเจน นี่คือคำแนะนำหลักจาก แนวทางปฏิบัติที่ดีที่สุดในการสร้างรหัส QR ที่ปลอดภัย.

เชื่อมโยงไปยังปลายทาง HTTPS เสมอ. ตรวจสอบให้แน่ใจว่าคิวอาร์โค้ดทุกอันที่คุณเผยแพร่นำไปสู่เว็บไซต์ที่มีใบรับรอง SSL ที่ถูกต้อง หลีกเลี่ยงปลายทาง HTTP สำหรับโค้ดใดๆ ที่ใช้ในการชำระเงิน ขั้นตอนการเข้าสู่ระบบ หรือการรวบรวมข้อมูล.

ตรวจสอบกิจกรรมการสแกนเพื่อหาความผิดปกติ. การวิเคราะห์แบบเรียลไทม์ช่วยให้คุณตรวจพบรูปแบบที่ผิดปกติ – ปริมาณการสแกนที่เพิ่มขึ้นอย่างกะทันหัน ความผิดปกติทางภูมิศาสตร์ หรือประเภทอุปกรณ์ที่ไม่คาดคิด – ซึ่งอาจบ่งชี้ว่าโค้ดถูกบุกรุกหรือถูกแทนที่. เครื่องมือติดตามรหัส QR สามารถแจ้งเตือนคุณถึงสัญญาณเหล่านี้ก่อนที่จะเกิดความเสียหายร้ายแรง.

ตรวจสอบโค้ดที่ติดตั้งจริงเป็นประจำ. กำหนดการตรวจสอบประจำสำหรับคิวอาร์โค้ดใดๆ ที่แสดงในสถานที่สาธารณะ ถ่ายภาพโค้ดแต่ละอันเมื่อวางครั้งแรก เพื่อให้คุณมีข้อมูลอ้างอิงในการเปรียบเทียบ มองหาสัญญาณของสติกเกอร์ซ้อนทับ การจัดวางที่ไม่ตรง หรือการแก้ไขดัดแปลง.

ปกป้องโค้ดของคุณด้วยการตรวจสอบแบบเรียลไทม์ ต้องการตรวจจับกิจกรรมการสแกนที่น่าสงสัยก่อนที่จะกลายเป็นปัญหาร้ายแรงหรือไม่? ใช้ สร้าง Dynamic QR Code เพื่อสร้างโค้ดที่แก้ไขได้ ติดตามได้ พร้อมการวิเคราะห์ในตัว – และอัปเดตหรือปิดใช้งานโค้ดใดๆ ได้ทันทีหากมีสิ่งผิดปกติ.

ปกป้องลูกค้าของคุณ ณ จุดสแกน

หากธุรกิจของคุณแสดงรหัส QR สำหรับการชำระเงิน เมนู หรือการโต้ตอบกับลูกค้า ให้ดำเนินการเพื่อช่วยให้ลูกค้าตรวจสอบว่าพวกเขากำลังสแกนรหัสที่ถูกต้อง:

• แสดงคำแนะนำที่ชัดเจนใกล้กับรหัสแต่ละรหัส อธิบายว่ารหัสนั้นนำไปสู่อะไร และข้อมูลใดบ้างที่ลูกค้าจะถูกขอให้ระบุ
• เพิ่มการสร้างแบรนด์ที่มองเห็นได้และชื่อโดเมน เพื่อให้ลูกค้าสามารถตรวจสอบปลายทางก่อนที่จะโต้ตอบ
• จัดหาวิธีอื่นในการเข้าถึงข้อมูลเดียวกัน (เช่น URL โดยตรง, เมนูที่พิมพ์ออกมา ฯลฯ) เพื่อให้ลูกค้าไม่ถูกบังคับให้สแกนหากไม่แน่ใจ
• โพสต์ประกาศที่มองเห็นได้เพื่อกระตุ้นให้ลูกค้ารายงานรหัสที่น่าสงสัยไปยังทีมของคุณ

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการลด ความเสี่ยงของรหัส QR ในบริบทการชำระเงิน, รวมถึงคำแนะนำเฉพาะอุตสาหกรรมสำหรับธุรกิจค้าปลีกและอีคอมเมิร์ซ โปรดดูคู่มือความปลอดภัยในการชำระเงินโดยเฉพาะ.

เมื่อเกิดเหตุการณ์ขึ้น: สิ่งที่ต้องทำ

หากพนักงานหรือลูกค้ารายงานรหัส QR ที่อาจถูกบุกรุก ให้ดำเนินการทันที:

• ปิดใช้งานหรืออัปเดตรหัส QR แบบไดนามิกที่ได้รับผลกระทบ เพื่อไม่ให้ชี้ไปยังปลายทางที่เป็นอันตรายอีกต่อไป
• บันทึกเหตุการณ์และเก็บรักษาหลักฐานเพื่อการสอบสวน
• แจ้งฝ่ายที่ได้รับผลกระทบเพื่อให้พวกเขาสามารถตรวจสอบบัญชีและเปลี่ยนรหัสผ่านได้
• รายงานเหตุการณ์ต่อหน่วยงานที่เกี่ยวข้อง – ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ตของ FBI (IC3) สำหรับการฉ้อโกงทางไซเบอร์ที่เกี่ยวข้องกับธุรกิจ และ FTC สำหรับการหลอกลวงที่มุ่งเน้นผู้บริโภค
• ตรวจสอบรหัสอื่นๆ ที่คุณใช้งานอยู่เพื่อตรวจสอบการดัดแปลงที่คล้ายกัน

การมีแผนรับมือเหตุการณ์ล่วงหน้าก่อนที่จะเกิดปัญหาขึ้นนั้นมีค่าใช้จ่ายน้อยกว่าการแก้ไขปัญหาเฉพาะหน้าภายใต้ความกดดันมาก.

คำถามที่พบบ่อย