二维码网络钓鱼：如何保护您的企业

您的企业是否正在使用二维码，却不知道哪些二维码已被篡改？二维码网络钓鱼——通常称为“quishing”——将日常便利变成了窃取凭据的陷阱，而传统的安全过滤器往往完全无法识别它。本指南涵盖了这些攻击的工作原理、它们给企业造成的损失以及您可以采取哪些具体控制措施来阻止它们。.

二维码网络钓鱼的工作原理

二维码网络钓鱼利用了一个根本弱点：二维码不可人工读取。对于传统的URL，训练有素的眼睛通常可以发现欺骗性域名或可疑字符串。而二维码则隐藏了所有这些信息。正如MobileIron全球副总裁Alex Mosher所解释的：

“二维码本质上隐藏了其目的地。因此，在不被发现的情况下更改二维码以指向替代资源的能力既简单又高效。”

攻击者将恶意URL嵌入二维码中，将受害者重定向到旨在窃取凭据的虚假登录页面，或触发恶意软件下载的网站。更糟糕的是，许多电子邮件安全系统无法解码二维码图像——它们看到的是图片，而不是链接——因此恶意负载会绕过能够捕获普通网络钓鱼URL的过滤器。.

2023年，二维码网络钓鱼占所有网络钓鱼攻击的22%。一项大规模的quishing活动在几个月内增长了2400%，对一项针对企业的行动分析发现，大约29%的恶意电子邮件包含二维码。.

攻击者在哪里植入恶意二维码

电子邮件和文档攻击 是最常见的投递方式。攻击者将二维码嵌入PDF或Word附件中，以绕过电子邮件安全过滤器。2023年，82%的quishing攻击冒充了可信品牌——在观察到的案例中，微软被攻击的比例为51%，其次是DocuSign占31%，Adobe占15%。在2024年中到2024年末之间，研究人员发现了超过50万封包含嵌入PDF中二维码的网络钓鱼邮件。.

物理篡改 同样危险。攻击者在高流量场所——餐馆、停车计时器、机场和零售空间——将欺诈性二维码贴纸覆盖在合法二维码上。在旧金山，犯罪分子在停车罚单上放置了伪造的二维码，将用户引导至一个旨在窃取信用卡详细信息的虚假交通页面。社会保障局特别警告说，官方标识上的合法二维码通常不是贴纸；以贴纸形式出现的二维码应被视为可疑。.

社会工程诱饵 完善了整个画面。受害者被诱导扫描二维码以领取折扣、连接免费Wi-Fi或完成调查。在新加坡的一个有记录的案例中，一名女子在一家珍珠奶茶店扫描了一个二维码，期望获得忠诚度奖励。然而，一个恶意应用程序被下载到她的手机上，攻击者从她的银行账户中窃取了2,000新元。.

这些攻击给企业带来什么损失

凭据和数据盗窃

近90%的quishing攻击专门旨在窃取登录凭据和敏感数据。攻击者将受害者重定向到逼真的Microsoft 365、SharePoint或银行门户网站的仿制品。高管成为不成比例的攻击目标，因为他们的凭据可以解锁关键系统和特权数据。.

个人设备使情况更糟。当员工在未注册企业管理的手机上扫描二维码时，IT团队无法了解发生了什么或访问了什么。.

经济损失

2023年，数据泄露的平均成本达到445万美元，其中商业电子邮件诈骗的平均成本为489万美元——这还不包括监管罚款和法律费用。直接网络钓鱼损失同比飙升76%。个别事件说明了其规模：英国一火车站诈骗案导致一名受害者负债13,000英镑；卡尔加里一家庭因Facebook Marketplace二维码诈骗损失了10,000美元。.

小型企业承担了不成比例的损害。在英国，小型企业每天面临约65,000次网络攻击，解决一次成功攻击的平均成本约为33,700美元。.

运营中断和声誉损害

被盗凭据经常成为勒索软件部署的入口点。2023年，组织平均花费182万美元从勒索软件事件中恢复。建筑和工程公司面临的二维码攻击风险比平均水平高19.2倍；专业服务公司面临的风险高18.5倍。.

除了运营停机时间，当客户数据暴露时，企业还会面临客户流失、更高的网络安全保险费和监管审查。数据泄露后重建信任所需的时间远长于解决技术事件本身。.

如何预防二维码网络钓鱼：分层方法

没有单一的控制措施可以消除二维码钓鱼。安全研究人员、联邦机构和企业安全团队的一致建议是采用分层防御，结合电子邮件过滤、身份控制、端点保护、员工培训和报告工作流程。.

电子邮件安全控制

配置电子邮件安全系统，使其具备超越标准链接扫描的功能。有效的控制措施包括：

• 具备OCR功能的过滤 能够解码电子邮件中二维码图像并根据威胁情报分析嵌入式URL
• 反网络钓鱼策略 经过调整，可标记基于图像的有效载荷，特别是嵌入在PDF或Office文档附件中的二维码
• 严格的垃圾邮件网关规则，默认将电子邮件中未经请求的二维码视为高风险

针对 Microsoft 365 环境，Microsoft Defender for Office 365 包含二维码图像解码功能，可显示嵌入式 URL 以进行信誉检查和安全链接评估。.

身份和访问控制

被盗凭据只有在能被使用时才有用。分层身份控制可显著降低这种风险：

• 多重身份验证 (MFA) 适用于所有账户，对高权限用户和高管有更强的身份验证要求
• 防网络钓鱼的 MFA 方法 例如硬件安全密钥或通行密钥，它们与合法域绑定，不会被欺诈网站拦截
• 阻止不支持 MFA 的旧版身份验证协议，消除常见的绕过途径
• 标记或阻止来自非托管设备的登录尝试的条件访问策略

有关二维码如何与身份验证工作流交叉的更深入背景信息，请参阅 二维码如何简化多因素认证.

终结点和设备保护

具有最新终结点安全的托管设备提供了关键的安全网：

• 在所有托管设备上部署终结点检测和响应 (EDR)
• 启用浏览器信誉检查（例如 Microsoft SmartScreen），在用户访问已知网络钓鱼域之前发出警告
• 应用移动设备管理 (MDM) 策略，对用于工作扫描二维码的手机强制执行安全基线
• 限制非托管设备在公司网络上的下载

联邦贸易委员会建议保持设备操作系统最新，并在所有账户中使用强大、独特的密码，作为基础卫生习惯，以降低任何成功网络钓鱼尝试的影响。.

员工培训和意识

您的员工是抵御二维码钓鱼（quishing）最直接的防线，并且培训必须明确——一般网络钓鱼意识不会自动转化为二维码威胁。.

有效的培训计划涵盖：

• 为什么二维码很危险：目的地在扫描前是隐藏的
• 包含二维码的电子邮件中的危险信号：紧迫性、泛泛的问候、来自知名品牌的未经请求的消息以及要求登录凭据
• 物理篡改迹象：作为贴纸覆盖在印刷材料上的二维码，非官方标牌上的二维码
• 验证习惯：如果二维码出现在意外的电子邮件中，通过已知的电话号码或官方网站联系发件人，而不是扫描该二维码
• URL检查：扫描后，在输入任何凭据之前检查浏览器地址栏中的URL——查找拼写错误、字母调换或不熟悉的域名

美国卫生与公众服务部建议培训最终用户保持健康的怀疑态度，并识别可疑发件人地址、欺骗性链接和不当语法等指标——所有这些都像基于文本的网络钓鱼活动一样，出现在基于二维码的网络钓鱼活动中。.

开展模拟二维码钓鱼演练，同时进行标准网络钓鱼模拟。针对高风险群体——高管、财务团队以及任何拥有管理权限的人员——提供更频繁、更真实的场景。.

如需更全面的了解 网络防御中的二维码安全最佳实践, ，包括加密和身份验证配对，该指南更深入地涵盖了技术控制。.

报告和事件响应

员工需要一种清晰、低摩擦的方式来报告可疑二维码——无论是在电子邮件中还是在物理空间中。电子邮件客户端中的“报告钓鱼”按钮消除了数字报告的摩擦。对于物理二维码，提供关于如何标记和拍摄可疑贴纸或被篡改材料的指导。.

您的事件响应计划应明确包含针对钓鱼二维码（quishing）场景的定义步骤：

• 隔离任何可能通过恶意二维码提交了凭据的账户
• 立即撤销活动会话并重置密码
• 检查在扫描和响应之间的时间窗口内是否存在未经授权的访问或数据移动
• 根据您的数据泄露通知政策通知受影响的个人
• 进行事件后审查，以查明二维码如何绕过现有控制措施

运行包含钓鱼二维码（quishing）场景的渗透测试，以便在攻击者发现漏洞之前找到它们。.

您的企业部署的二维码：保护您自己的代码

防止钓鱼二维码（quishing）也意味着确保您的企业发布的二维码不会被武器化，从而危害您的客户或员工。.

使用动态二维码而不是静态二维码。. 静态代码永久编码一个目标URL。如果该目标曾被泄露，该代码将成为一个无法在不重新打印的情况下修复的隐患。. 动态 QR 码 指向您控制的短重定向URL——您可以更新目标、重定向到新页面，或从管理仪表板完全禁用该代码，而无需触及印刷材料。.

掌控您发布的二维码 如果您怀疑您部署的某个代码已被篡改或指向不安全的地方，您可以立即更新或禁用它。使用 动态 QR code 生成器 从集中式仪表板管理您的所有代码，并提供实时扫描分析。.

为您的代码应用一致的品牌标识。. 百分之七十一的人无法可靠地区分假冒二维码和合法二维码。带有品牌标识的二维码——包含您的徽标、公司颜色和目标URL中的自定义域名——为用户提供了代码真实性的视觉信号。带有不透明短URL的通用黑白二维码则无法提供此类保证。.

监控扫描分析数据以发现异常。. 动态二维码收集扫描数据，包括时间戳、设备类型和地理位置。来自意外区域的扫描突然激增，或在正常工作时间之外的扫描活动，可能表明您的某个二维码已被恶意复制和重新分发。Pageloot 的分析仪表板会显示这些模式，以便您快速调查和响应。.

有关您的二维码收集哪些扫描数据以及如何负责任地解读这些数据的详细信息，请参阅 了解您的动态二维码跟踪哪些数据.

定期进行物理审计。. 对于在公共或半公共场所（餐厅餐桌、活动标牌、车辆显示屏或零售橱窗）展示的任何二维码，请定期进行物理检查。查找覆盖在原始二维码上的贴纸，并在客户遇到之前测试每个二维码的目标链接。.

仅使用 HTTPS 目标。. 您的二维码链接到的每个 URL 都应使用 HTTPS。将用户发送到未加密的 HTTP 目标会损害信任并暴露传输中的数据。.

有关以下方面的额外指导 二维码隐私风险以及如何避免它们, ，包括如何平衡分析与用户隐私，该资源涵盖了企业经常忽视的数据考量。.

评估检测工具

员工培训和平台控制解决了大部分风险，但专用检测工具又增加了一层保护——特别是对于电子邮件量大或二维码部署复杂的组织。如果您正在评估选项，, 旨在检测二维码网络钓鱼的工具 范围从企业行为分析平台到电子邮件网关附加组件以及内置信誉检查的移动扫描应用程序。.

正确的组合取决于您现有的安全堆栈、您接收与部署的二维码数量，以及物理篡改是否是您所在位置的一个重要问题。二维码钓鱼并非假设性威胁。它在现实世界的网络钓鱼活动中占有相当大的份额，绕过了大多数组织已有的控制措施，并且不成比例地针对那些最不具备识别能力的业务和用户。弥补这一差距需要电子邮件安全、身份控制、员工培训以及您自己发布的二维码方面的深思熟虑的行动。.

从您可以立即实施的控制措施开始——多因素认证（MFA）、员工意识以及将您发布的二维码切换到动态管理——然后逐步建立分层防御，使二维码钓鱼攻击对您的组织始终无效。.

常见问题