Як захистити свій бізнес від шахрайства з QR-кодами

1. Чи ставлять QR-коди ваш бізнес під загрозу? Шахрайські QR-коди є все більш поширеним інструментом для кіберзлочинців, які націлені на компанії будь-якого розміру – і більшість співробітників не знають, як їх розпізнати. Цей посібник пояснює, як працюють шахрайства з QR-кодами, на які попереджувальні знаки слід звертати увагу та які конкретні кроки може зробити ваш бізнес, щоб залишатися захищеним.

2. Чому шахрайства з QR-кодами є зростаючою загрозою для бізнесу

3. QR-коди стали звичайною частиною ведення бізнесу – платежі, меню, маркетингові матеріали, реєстрація на заходи тощо. Саме ця знайомість робить їх привабливими для злочинців.

4. Цей тип атаки відомий як 5. квішинг 6. (фішинг за допомогою QR-кодів). Шахраї створюють або змінюють QR-коди, щоб перенаправляти людей на шахрайські вебсайти, призначені для викрадення облікових даних, платіжних даних або іншої конфіденційної інформації – або для прихованої інсталяції шкідливого програмного забезпечення на їхній пристрій.

7. Масштаб значний. З травня по липень 2023 року фішингова кампанія з QR-кодами, націлена на облікові дані Microsoft, зросла більш ніж на 2400%. Аналіз тенденцій між 4 кварталом 2023 року та 1 кварталом 2024 року виявив зростання кількості згадок про фішинг за допомогою QR-кодів на 433%. Керівники особливо вразливі, отримуючи в 42 рази більше атак з QR-кодами, ніж інші співробітники, через їхній ширший доступ до ресурсів компанії.

8. Жодна галузь не застрахована. Енергетика, виробництво, страхування, технології та фінансові послуги – усі вони були об'єктами задокументованих кампаній. Один співробітник, який сканує неправильний код, може відкрити двері для викрадення облікових даних, фінансового шахрайства або повного зламу мережі.

9. Як шахрайства з QR-кодами націлені на бізнес

10. Розуміння методів, які використовують злочинці, є першим кроком до побудови ефективного захисту. Квішингові атаки зазвичай відповідають одному з кількох шаблонів:

11. Фішингові електронні листи з вбудованими QR-кодами. 12. Зловмисники надсилають електронні листи, що містять QR-коди, які перенаправляють одержувачів на переконливі фальшиві сторінки входу – часто імітуючи Microsoft 365, банківські портали або внутрішні системи. Оскільки шкідливе посилання приховано всередині зображення, а не набрано як текст, багато фільтрів безпеки електронної пошти не можуть його виявити.

13. Фізична заміна коду. 14. Злочинці друкують шахрайські наклейки з QR-кодами та розміщують їх поверх легітимних кодів на вивісках, платіжних терміналах, меню, паркоматах або упаковці продуктів. Жертви сканують те, що здається офіційним кодом, і перенаправляються на фальшивий сайт. В Остіні, штат Техас, поліція виявила 29 фальшивих QR-кодів, розміщених на міських паркоматах. У Йорку, Велика Британія, 15. фальшиві QR-коди на паркувальних знаках перенаправляли водіїв на клоновані платіжні сайти, при цьому деякі жертви втратили до 400 фунтів стерлінгів., with some victims losing up to £400.

Незапитані посилки та пошта. Поштова інспекційна служба Сполучених Штатів попереджає, що шахраї надсилають неочікувані посилки, які містять невеликі подарунки разом із QR-кодами, просячи одержувачів відсканувати код, щоб “зареєструвати” товар. Сканування веде до підробленого сайту, який запитує особисті або фінансові дані.

Видача себе за довірені організації. Зловмисники маскуються під державні установи, банки, служби доставки або інші відомі компанії, щоб створити відчуття терміновості та знизити пильність жертви перед скануванням QR-коду.

Ознаки шахрайського QR-коду

Немає надійної візуальної відмінності в самому шаблоні QR-коду, яка б послідовно відрізняла шкідливий код від легітимного. Натомість вашій команді потрібно оцінювати контекст і поведінку навколо коду. Навчіть співробітників розглядати наступне як тривожні сигнали:

• Ознаки фізичного втручання: Код виглядає як наклейка, приклеєний скотчем, виглядає подряпаним або піксельним, зміщений або явно розміщений поверх іншого надрукованого коду.
• Відсутність чіткого контексту або брендування: Код з'являється на випадковій поверхні, не має пояснення свого призначення або йому бракує послідовного брендування від організації, яку він нібито представляє.
• Термінова або тискова мова: Навколишній текст вимагає негайної дії, оплати або входу без чіткої законної причини.
• Невідповідності брендування: Орфографічні помилки, невідповідні логотипи, незвичайні кольори або дизайн, який не відповідає звичайному вигляду організації.
• Підозрілий URL-адреса попереднього перегляду: Після сканування відображена URL-адреса не відповідає очікуваному домену, скорочена, містить орфографічні помилки або не має HTTPS (без значка замка в браузері).
• Несподівані запити на конфіденційну інформацію: Сторінка запитує паролі, платіжні дані або особисті дані без чіткої, очікуваної причини.
• Незапитана доставка: QR-код надійшов у електронному листі, текстовому повідомленні або посилці, яку ви не очікували – особливо з повідомленням, що закликає діяти швидко.

Для глибшого вивчення виявлення скомпрометованих кодів, посібник з найкращих практик безпеки QR-кодів у кіберзахисті охоплює виявлення та реагування на інциденти детально.

Як захистити свій бізнес: Практичний контрольний список

Захист вашої організації від шахрайства з QR-кодами вимагає багатошарового захисту – жоден окремий захід не є достатнім сам по собі. ФБР рекомендує багатошарову стратегію, яка поєднує навчання співробітників, технічний контроль, надійну автентифікацію та безперервний моніторинг.

Навчайте співробітників розпізнавати квішинг

Людська помилка залишається найбільш експлуатованою вразливістю в атаках з використанням QR-кодів. Регулярне, практичне навчання повинно охоплювати:

• Ніколи не сканувати QR-коди з неочікуваних електронних листів, текстових повідомлень, посилок або листівок – навіть якщо вони здаються такими, що походять з надійного джерела
• Завжди переглядати URL-адресу перед її відкриттям після сканування та перевіряти на наявність орфографічних помилок, невідповідних доменів або відсутність HTTPS
• Фізично перевіряти QR-коди на робочому місці на наявність ознак втручання, особливо на платіжних терміналах, вивісках або друкованих матеріалах
• Перевіряти джерело QR-коду через окремий, надійний канал перед введенням будь-яких облікових даних або платіжної інформації
• Негайно повідомляти про будь-які підозрілі QR-коди через чіткий внутрішній процес ескалації

ФБР конкретно рекомендує встановлювати офіційні внутрішні протоколи для повідомлення про підозрілі коди, щоб інциденти можна було швидко ескалувати та вирішувати.

Впроваджуйте надійну автентифікацію та контроль доступу

Облікові дані, викрадені під час квішингових атак, можуть завдати серйозної шкоди лише в тому випадку, якщо вони надають неконтрольований доступ. ФБР та органи кібербезпеки рекомендують:

• Вимагати стійку до фішингу багатофакторну автентифікацію (MFA) для всього віддаленого доступу та чутливих систем
• Застосовувати контроль доступу на основі ролей, щоб співробітники могли отримувати доступ лише до систем і даних, що відповідають їхній ролі
• Розглянути стратегію нульової довіри, яка постійно перевіряє запити на доступ, а не надає повну довіру до мережі

Підтримуйте системи та програмне забезпечення в актуальному стані

Технічні засоби захисту зменшують поверхню атаки, доступну для злочинців. Переконайтеся, що ваша організація підтримує:

• Актуальні операційні системи, антивірусне програмне забезпечення та патчі безпеки на всіх пристроях
• Активні спам- та веб-фільтри в електронній пошті та мережевих системах
• Вимоги до надійних паролів для всіх облікових записів

FTC радить оновлювати операційні системи телефонів спеціально для захисту від шкідливого програмного забезпечення, що розповсюджується через QR-коди.

Захистіть QR-коди, які створює та розгортає ваш бізнес

Ваші власні QR-коди можуть стати векторами шахрайства, якщо ними не керувати належним чином. Взяття під контроль ваших кодів є одним з найпряміших способів захистити як ваших клієнтів, так і вашу репутацію.

Використовуйте динамічні QR-коди замість статичних. На відміну від статичних кодів, динамічні QR-коди можна редагувати, відстежувати та деактивувати після їх друку. Якщо код було змінено або перенаправлено на шкідливий ресурс, ви можете оновити або вимкнути його без повторного друку. Статичні коди, навпаки, є постійними – якщо цільовий ресурс скомпрометовано, виправити це неможливо.

Застосовуйте індивідуальний брендинг до кожного коду. Коди з вашим логотипом, фірмовими кольорами та візуальною ідентичністю значно складніше переконливо відтворити злочинцям. Брендовані коди також надають клієнтам і співробітникам візуальну точку відліку – якщо код виглядає неправильно, це відразу помітно. Це ключова рекомендація від безпечні найкращі практики генерації QR-кодів.

Завжди посилайтеся на HTTPS-ресурси. Переконайтеся, що кожен опублікований вами QR-код веде на сайт із дійсним SSL-сертифікатом. Уникайте HTTP-ресурсів для будь-яких кодів, що використовуються для платежів, входу в систему або збору даних.

Відстежуйте активність сканування на наявність аномалій. Аналітика в реальному часі дозволяє виявляти незвичайні закономірності – раптові сплески обсягу сканувань, географічні аномалії або несподівані типи пристроїв – що може свідчити про компрометацію або заміну коду. Інструменти відстеження QR-коду може сповістити вас про ці сигнали до того, як буде завдано значної шкоди.

Регулярно фізично перевіряйте розгорнуті коди. Заплануйте регулярні перевірки будь-яких QR-кодів, розміщених у загальнодоступних місцях. Сфотографуйте кожен код під час його першого розміщення, щоб мати еталон для порівняння. Шукайте ознаки накладених наклейок, зміщення або втручання.

Захистіть свої коди за допомогою моніторингу в реальному часі Хочете виявляти підозрілу активність сканування до того, як вона стане серйозною проблемою? Використовуйте Динамічний QR код: генератор для створення редагованих, відстежуваних кодів із вбудованою аналітикою – та миттєво оновлюйте або вимикайте будь-який код, якщо щось виглядає неправильно.

Захистіть своїх клієнтів у точці сканування

Якщо ваш бізнес використовує QR-коди для платежів, меню або взаємодії з клієнтами, вживайте заходів, щоб допомогти клієнтам перевірити, чи сканують вони легітимний код:

• Розміщуйте чіткі інструкції біля кожного коду, пояснюючи, куди він веде та яку інформацію буде запропоновано надати клієнтам
• Додайте видимий брендинг та доменне ім'я, щоб клієнти могли перевірити призначення перед взаємодією
• Надайте альтернативний метод доступу до тієї ж інформації (пряме посилання, друковане меню тощо), щоб клієнти ніколи не були змушені сканувати, якщо вони не впевнені
• Розміщуйте видимі оголошення, що заохочують клієнтів повідомляти вашій команді про підозрілі коди

Щоб дізнатися більше про зменшення ризиків QR-кодів у контексті платежів, включаючи галузеві рекомендації для роздрібної торгівлі та електронної комерції, дивіться у спеціальному посібнику з безпеки платежів.

Коли трапляється інцидент: Що робити

Якщо співробітник або клієнт повідомляє про потенційно скомпрометований QR-код, дійте негайно:

• Вимкніть або оновіть скомпрометований динамічний QR-код, щоб він більше не перенаправляв на шкідливе призначення
• Задокументуйте інцидент та збережіть докази для розслідування
• Повідомте постраждалі сторони, щоб вони могли відстежувати облікові записи та змінювати паролі
• Повідомте про інцидент відповідні органи – Центр скарг на інтернет-злочини ФБР (IC3) щодо кібершахрайства, пов'язаного з бізнесом, та FTC щодо шахрайства, орієнтованого на споживачів
• Перевірте інші розгорнуті коди на наявність подібних втручань

Наявність плану реагування на інциденти до того, як щось піде не так, є набагато менш витратною, ніж імпровізація під тиском.

Поширені запитання