QR-фішинг: Як захистити свій бізнес

Чи використовує ваш бізнес QR-коди, не знаючи, які з них були скомпрометовані? Фішинг за допомогою QR-кодів – який зазвичай називають “квішингом” – перетворює повсякденну зручність на пастку для викрадення облікових даних, і традиційні фільтри безпеки часто повністю його пропускають. Цей посібник охоплює те, як працюють ці атаки, скільки вони коштують бізнесу та які конкретні засоби контролю ви можете запровадити, щоб їх зупинити.

Як працює фішинг за допомогою QR-кодів

Фішинг за допомогою QR-кодів використовує фундаментальну слабкість: QR-коди не є читабельними для людини. Завдяки традиційній URL-адресі досвідчене око часто може виявити підроблений домен або підозрілий рядок. QR-код приховує все це. Як пояснює Алекс Мошер, глобальний віце-президент MobileIron:

“QR-коди за своєю суттю приховують своє призначення. Тому можливість змінити QR-код, щоб він вказував на альтернативний ресурс, не будучи виявленим, є простою та високоефективною”.”

Зловмисники вбудовують шкідливі URL-адреси в QR-коди, які перенаправляють жертв на фальшиві сторінки входу, призначені для збору облікових даних, або на сайти, які запускають завантаження шкідливого програмного забезпечення. Ускладнює проблему те, що багато систем безпеки електронної пошти не можуть декодувати зображення QR-кодів – вони бачать зображення, а не посилання – тому шкідливе навантаження прослизає крізь фільтри, які б виявили звичайну фішингову URL-адресу.

У 2023 році фішинг за допомогою QR-кодів становив 22% усіх фішингових атак. Одна масштабна квішингова кампанія зросла на 2400% за кілька місяців, а аналіз операції, спрямованої на корпоративний сектор, виявив, що приблизно 29% шкідливих електронних листів містили QR-коди.

Де зловмисники розміщують шкідливі QR-коди

Атаки через електронну пошту та документи є найпоширенішим методом доставки. Зловмисники вбудовують QR-коди в PDF- або Word-вкладення, щоб обійти фільтри безпеки електронної пошти. У 2023 році 82% квішингових атак імітували довірені бренди – Microsoft була ціллю в 51% спостережуваних випадків, за нею йшли DocuSign з 31% та Adobe з 15%. Між серединою 2024 року та кінцем 2024 року дослідники виявили понад 500 000 фішингових електронних листів, що містили QR-коди, вбудовані в PDF-файли.

Фізичне втручання є не менш небезпечним. Зловмисники розміщують шахрайські наклейки з QR-кодами поверх легітимних кодів у місцях з високим трафіком – ресторанах, паркоматах, аеропортах та торгових приміщеннях. У Сан-Франциско злочинці розмістили підроблені QR-коди на паркувальних талонах, які направляли користувачів на фальшиву сторінку транзиту, призначену для викрадення даних кредитних карток. Управління соціального забезпечення спеціально попереджає, що легітимні QR-коди на офіційних вивісках зазвичай не є наклейками; код, нанесений як наклейка, слід вважати підозрілим.

Приманки соціальної інженерії доповнюють картину. Жертвам пропонується відсканувати QR-код, щоб отримати знижку, підключитися до безкоштовного Wi-Fi або пройти опитування. В одному задокументованому випадку в Сінгапурі жінка відсканувала код у магазині чаю з бульбашками, очікуючи винагороди за лояльність. Натомість на її телефон було завантажено шкідливий додаток, і зловмисники вивели $2000 з її банківського рахунку.

Скільки ці атаки коштують бізнесу

Викрадення облікових даних та даних

Майже 90% квішингових атак розроблені спеціально для викрадення облікових даних для входу та конфіденційних даних. Зловмисники перенаправляють жертв на переконливі копії порталів Microsoft 365, SharePoint або банківських порталів. Керівники непропорційно часто стають мішенню, оскільки їхні облікові дані відкривають доступ до критично важливих систем та привілейованих даних.

Особисті пристрої погіршують ситуацію. Коли співробітники сканують QR-коди на телефонах, не зареєстрованих у системі корпоративного управління, ІТ-команди не мають уявлення про те, що сталося або до чого був отриманий доступ.

Фінансові втрати

Середня вартість витоку даних досягла $4,45 мільйона у 2023 році, при цьому шахрайство з компрометацією корпоративної електронної пошти в середньому становило $4,89 мільйона – без урахування регуляторних штрафів та судових витрат. Прямі втрати від фішингу зросли на 76% у порівнянні з попереднім роком. Окремі інциденти ілюструють масштаб: шахрайство на залізничній станції у Великій Британії залишило одну жертву з боргом у £13 000; сім'я з Калгарі втратила $10 000 через шахрайство з QR-кодом на Facebook Marketplace.

Малі підприємства несуть непропорційно велику частку збитків. У Великій Британії малі підприємства щодня стикаються з приблизно 65 000 кібератак, при цьому середня вартість усунення наслідків успішної атаки становить близько $33 700.

Операційні збої та репутаційна шкода

Викрадені облікові дані часто слугують точкою входу для розгортання програм-вимагачів. У 2023 році організації витратили в середньому $1,82 мільйона на відновлення після інцидентів з програмами-вимагачами. Будівельні та інженерні фірми стикаються з ризиком атаки за допомогою QR-коду, що в 19,2 рази вищий за середній; фірми, що надають професійні послуги, стикаються з ризиком, що в 18,5 рази вищий.

Окрім операційних простоїв, підприємства стикаються з відтоком клієнтів, вищими преміями за страхування кібербезпеки та регуляторним контролем, коли дані клієнтів розкриваються. Відновлення довіри після витоку займає набагато більше часу, ніж вирішення самого технічного інциденту.

Як запобігти фішингу за допомогою QR-кодів: Багаторівневий підхід

Жоден окремий засіб контролю не усуває квішинг. Постійна рекомендація від дослідників безпеки, федеральних агентств та команд безпеки підприємств – це багаторівневий захист, що поєднує фільтрацію електронної пошти, контроль ідентифікації, захист кінцевих точок, навчання співробітників та робочі процеси звітності.

Засоби контролю безпеки електронної пошти

Налаштуйте системи безпеки електронної пошти з можливостями, що виходять за рамки стандартного сканування посилань. Ефективні засоби контролю включають:

• Фільтрація з підтримкою OCR яка декодує зображення QR-кодів в електронних листах та аналізує вбудовану URL-адресу на відповідність даним про загрози
• Антифішингові політики налаштовані на позначення корисного навантаження на основі зображень, особливо QR-кодів, вбудованих у вкладення PDF або документів Office
• Суворі правила спам-шлюзу, які за замовчуванням розглядають небажані QR-коди в електронних листах як високий ризик

Для середовищ Microsoft 365 зокрема, Microsoft Defender for Office 365 включає декодування зображень QR-кодів для виявлення вбудованих URL-адрес для перевірки репутації та оцінки безпечних посилань.

Контроль ідентичності та доступу

Викрадені облікові дані корисні лише тоді, коли їх можна використати. Багаторівневий контроль ідентичності значно знижує цей ризик:

• Багатофакторна автентифікація (MFA) для всіх облікових записів, з посиленими вимогами до автентифікації для користувачів з високими привілеями та керівників
• Методи MFA, стійкі до фішингу такі як апаратні ключі безпеки або ключі доступу, які прив'язані до легітимного домену і не можуть бути перехоплені шахрайським сайтом
• Блокування застарілих протоколів автентифікації, які не підтримують MFA, усуваючи поширений шлях обходу
• Політики умовного доступу, які позначають або блокують спроби входу з некерованих пристроїв

Для глибшого розуміння того, як QR-коди перетинаються з робочими процесами автентифікації, дивіться як QR-коди спрощують багатофакторну автентифікацію.

Захист кінцевих точок і пристроїв

Керовані пристрої з актуальним захистом кінцевих точок забезпечують критично важливу мережу безпеки:

• Розгортання виявлення та реагування на кінцевих точках (EDR) на всіх керованих пристроях
• Увімкнення перевірок репутації браузера (таких як Microsoft SmartScreen), які попереджають користувачів, перш ніж вони потраплять на відомий фішинговий домен
• Застосування політик керування мобільними пристроями (MDM), які забезпечують базові показники безпеки на телефонах, що використовуються для сканування QR-кодів для роботи
• Обмеження завантажень з некерованих пристроїв у корпоративних мережах

ФТК радить підтримувати операційні системи пристроїв в актуальному стані та використовувати надійні, унікальні паролі для всіх облікових записів як базову гігієну, що зменшує вплив будь-якої успішної фішингової спроби.

Навчання та обізнаність співробітників

Ваші співробітники є найпрямішою лінією захисту від квішингу, і навчання має бути чітким – загальна обізнаність про фішинг не поширюється автоматично на загрози, пов'язані з QR-кодами.

Ефективні навчальні програми охоплюють:

• Чому QR-коди небезпечні: місце призначення приховане до моменту сканування
• Тривожні сигнали в електронних листах, що містять QR-коди: терміновість, загальні привітання, небажані повідомлення від відомих брендів та запити на облікові дані
• Ознаки фізичного втручання: коди, нанесені як наклейки поверх друкованих матеріалів, коди на неофіційних вивісках
• Звички перевірки: якщо QR-код надходить у неочікуваному електронному листі, зв'яжіться з відправником за відомим номером телефону або через офіційний вебсайт, замість того щоб сканувати код
• Перевірка URL-адреси: після сканування перевірте URL-адресу в адресному рядку браузера, перш ніж вводити будь-які облікові дані – шукайте орфографічні помилки, переставлені літери або незнайомі домени

Міністерство охорони здоров'я та соціальних служб США рекомендує навчати кінцевих користувачів підтримувати здоровий рівень скептицизму та розпізнавати такі індикатори, як підозрілі адреси відправників, підроблені посилання та неправильна граматика – все це з'являється в QR-фішингових кампаніях так само, як і в текстових.

Проводьте симуляції квішингу поряд зі стандартними фішинговими симуляціями. Орієнтуйтеся на групи високого ризику – керівників, фінансові команди та всіх, хто має адміністративні привілеї – з більш частими та реалістичними сценаріями.

Для ширшого огляду найкращих практик безпеки QR-кодів у кіберзахисті, включаючи шифрування та сполучення для автентифікації, цей посібник детальніше розглядає технічні засоби контролю.

Звітність та реагування на інциденти

Співробітникам потрібен чіткий, простий спосіб повідомляти про підозрілі QR-коди – як в електронній пошті, так і у фізичних просторах. Кнопка "повідомити про фішинг" в поштових клієнтах усуває перешкоди для цифрових звітів. Для фізичних кодів надайте вказівки щодо того, як позначати та фотографувати підозрілі наклейки або пошкоджені матеріали.

Ваш план реагування на інциденти повинен конкретно розглядати сценарії квішингу з визначеними кроками:

• Ізолюйте будь-який обліковий запис, який міг надати облікові дані через шкідливий QR-код
• Негайно відкличте активні сесії та скиньте паролі
• Перевірте на наявність несанкціонованого доступу або переміщення даних у проміжку між скануванням та реагуванням
• Повідомте постраждалих осіб відповідно до вашої політики повідомлення про витік даних
• Проведіть післяінцидентний огляд, щоб визначити, як QR-код обійшов існуючі засоби контролю

Проведіть тестування на проникнення, яке включає сценарії квішингу, щоб знайти вразливості раніше, ніж це зроблять зловмисники.

QR-коди, які розгортає ваш бізнес: Захист ваших власних кодів

Запобігання квішингу також означає забезпечення того, щоб QR-коди, які публікує ваш бізнес, не могли бути використані проти ваших клієнтів або співробітників.

Використовуйте динамічні QR-коди замість статичних. Статичні коди постійно кодують цільову URL-адресу. Якщо ця ціль коли-небудь буде скомпрометована, код стає вразливістю, яку ви не зможете виправити без повторного друку. Динамічні QR-коди вказуйте на коротку URL-адресу перенаправлення, яку ви контролюєте – ви можете оновити ціль, перенаправити на нову сторінку або повністю вимкнути код з панелі керування, не торкаючись друкованого матеріалу.

Тримайте ваші опубліковані QR-коди під контролем Якщо ви підозрюєте, що один з ваших розгорнутих кодів був змінений або вказує на небезпечне місце, ви можете миттєво оновити або вимкнути його. Використовуйте Динамічний QR код: генератор для керування всіма вашими кодами з централізованої панелі керування з аналітикою сканувань у реальному часі.

Застосовуйте послідовний брендинг до ваших кодів. Сімдесят один відсоток людей не можуть надійно відрізнити підроблений QR-код від справжнього. Брендовані QR-коди – з вашим логотипом, фірмовими кольорами та власним доменом у цільовій URL-адресі – дають користувачам візуальний сигнал про автентичність коду. Загальні чорно-білі QR-коди з непрозорими короткими URL-адресами не надають такої впевненості.

Моніторте аналітику сканувань на наявність аномалій. Динамічні QR-коди збирають дані сканувань, включаючи часові мітки, типи пристроїв та географічні розташування. Раптовий сплеск сканувань з неочікуваних регіонів або активність сканувань поза звичайними робочими годинами може свідчити про те, що один із ваших кодів був скопійований та зловмисно розповсюджений. Панель аналітики Pageloot виявляє ці закономірності, щоб ви могли швидко розслідувати та реагувати.

Для детального ознайомлення з тим, які дані сканувань збирають ваші коди та як їх відповідально інтерпретувати, дивіться розуміння того, які дані відстежують ваші динамічні QR-коди.

Проводьте регулярні фізичні аудити. Для будь-яких QR-кодів, розміщених у громадських або напівгромадських місцях – на столах ресторанів, вивісках подій, дисплеях транспортних засобів або вітринах магазинів – регулярно перевіряйте коди фізично. Шукайте наклейки, розміщені поверх оригінального коду, і перевіряйте призначення кожного коду, перш ніж з ним зіткнуться клієнти.

Використовуйте виключно HTTPS-призначення. Кожна URL-адреса, на яку посилаються ваші QR-коди, повинна використовувати HTTPS. Надсилання користувачів на незашифроване HTTP-призначення підриває довіру та розкриває дані під час передачі.

Для отримання додаткових вказівок щодо ризиків конфіденційності QR-кодів та способів їх уникнення, включаючи те, як збалансувати аналітику з конфіденційністю користувачів, цей ресурс охоплює питання даних, які компанії часто ігнорують.

Оцінка інструментів виявлення

Навчання співробітників та елементи керування платформою усувають значну частину ризику, але спеціалізовані інструменти виявлення додають ще один рівень – особливо для організацій з великим обсягом електронної пошти або складними розгортаннями QR-кодів. Якщо ви оцінюєте варіанти, інструменти, призначені для виявлення фішингу за допомогою QR-кодів варіюються від корпоративних платформ поведінкової аналітики до надбудов для поштових шлюзів та мобільних додатків для сканування з вбудованими перевірками репутації.

Правильна комбінація залежить від вашого існуючого стеку безпеки, обсягу QR-кодів, які ви отримуєте порівняно з тими, що розгортаєте, а також від того, чи є фізичне втручання значною проблемою для ваших локацій. Квішинг – це не гіпотетична загроза. Він становить значну частку реальної фішингової активності, обходить засоби контролю, які більшість організацій вже мають, і непропорційно націлений на компанії та користувачів, найменш підготовлених до його розпізнавання. Усунення цього розриву вимагає цілеспрямованих дій у сфері безпеки електронної пошти, контролю ідентифікації, навчання співробітників та QR-кодів, які ви публікуєте самі.

Почніть з елементів керування, які ви можете впровадити негайно – MFA, обізнаність співробітників та переведення ваших опублікованих кодів на динамічне керування – а потім створюйте багаторівневий захист, який зробить квішингові атаки послідовно невдалими проти вашої організації.

Поширені запитання