Som si istý, že sa vám to stáva každý deň: idete do reštaurácie, chcete si pozrieť jedálny lístok a bez váhania vytiahnete telefón, aby ste naskenovali QR kód na stole. Stalo sa to tak bežným, že je to súčasťou našej rutiny, od platenia za parkovanie až po sťahovanie aplikácie. Tá istá slepá dôvera v technológie je však práve tou zraniteľnosťou, ktorú kyberzločinci zneužívajú na to, aby nám unikli so svojimi podvodmi.
Tu prichádza na rad termín quishing, ktorý je kombináciou slov „QR“ a „phishing“. V podstate ide o klamlivú techniku, pri ktorej útočníci používajú tieto malé čiernobiele štvorčeky na presmerovanie na podvodné webové stránky alebo na oklamanie stiahnutia škodlivého softvéru. Keďže obsah QR kódu je pre ľudské oko neviditeľný, kým nie je spracovaný, stáva sa perfektným nástrojom na obídenie bezpečnostných filtrov, ktoré by bežne detekovali podozrivý odkaz v e-maile.
Ako presne funguje tlmenie?
Tento proces je veľmi podobný tradičnému phishingu, ale s taktickým zvratom. Namiesto odoslania textového odkazu, ktorý si môžete pred kliknutím analyzovať, vám útočník zobrazí obrázok. Keď zariadenie naskenuje kód, extrahuje URL adresu a otvorí prehliadač. Skutočné nebezpečenstvo spočíva v tom, že tieto útoky často využívajú sociálne inžinierstvo , hrajú na naše emócie, vytvárajú falošný pocit naliehavosti alebo sľubujú neuveriteľné odmeny, aby nás prinútili konať impulzívne.
Existuje niekoľko vektorov útoku. Jedným z najbežnejších je prekrytie QR kódu , kde podvodník umiestni nálepku s vlastným kódom cez originál na verejných miestach, ako sú parkovacie automaty alebo značky autobusov. Existujú aj digitálne útoky, kde kód príde maskovaný v e-maile, SMS alebo dokonca PDF súbore a oklame vás, aby ste si mysleli, že potrebujete aktualizovať svoje bankové údaje alebo spracovať neexistujúcu pokutu za dopravný priestupok.
Skryté nebezpečenstvá skenovania
V závislosti od úmyslu útočníka sa výsledok skenovania podvodného QR kódu môže líšiť. V mnohých prípadoch sa dostanete na phishingovú webovú stránku , ktorá dokonale napodobňuje stránku vašej banky alebo oficiálneho subjektu, aby ukradla vaše používateľské meno a heslo. V iných prípadoch môže kód spustiť automatické stiahnutie trójskeho koňa alebo spyware aplikácie, ktorá prevezme kontrolu nad vaším telefónom.
Existuje technickejší a nebezpečnejší variant s názvom QRLJacking . V tomto prípade hacker naklonuje legitímny prihlasovací kód (veľmi bežný v bankových aplikáciách alebo moderných službách) a presmeruje ho na svoj vlastný server. Ak obeť naskenuje tento kód a nemá zapnuté dvojstupňové overenie, útočník môže získať priamy prístup k účtu bez potreby hesla, pretože sken slúži ako prístupový kľúč.
Prečo sme takí zraniteľní voči tomuto podvodu?
Hlavným dôvodom je, že utajovanie narúša bezpečnostný reťazec spoločnosti. Predstavte si, že dostanete škodlivý e-mail na svoj pracovný počítač; antivírus spoločnosti ho pravdepodobne zablokuje. Ak však e-mail obsahuje QR kód, naskenujete ho svojím osobným mobilným telefónom , ktorý zvyčajne nemá rovnakú ochranu ani nedodržiava bezpečnostné zásady spoločnosti. Vytvára sa tak slepé miesto, kde hrozba zostáva nezistená.
Okrem toho sú mobilné zariadenia často slabým článkom. Zatiaľ čo na počítačoch sme opatrnejší, máme tendenciu viac dôverovať smartfónom a ignorovať varovné signály, ako sú pravopisné chyby alebo zvláštne adresy URL. Táto kombinácia všadeprítomnosti QR kódov a menšej ostražitosti na mobilných zariadeniach vytvára ideálne prostredie pre kybernetických zločincov.
Najbežnejšie typy podvodov v reálnom svete
- Parkovacie podvody a pokuty: Na parkovacie automaty umiestňujú nálepky alebo na čelné sklo nechávajú oznámenia s QR kódom na platbu so zľavou, čím vyprázdnia účet obete.
- Podvody v pohostinstve: Falošné QR kódy na stoloch v reštauráciách, ktoré vás presmerujú na webové stránky, kde od vás žiadajú údaje o karte, aby ste sa mohli zúčastniť falošných tombol.
- Hazardné hry s kryptomenami: Kódy, ktoré sľubujú rýchle investície alebo bitcoinové ceny, ale v skutočnosti vám kradnú kľúče z digitálnej peňaženky.
- Falšovanie správ: E-maily od DHL alebo Correos, ktoré vás žiadajú o naskenovanie kódu na vyriešenie problému s doručením balíka.
Stratégie, ako sa vyhnúť pádu do pasce
Prvým zlatým pravidlom je neskenovať len tak hocičo, čo nájdete. Ak uvidíte QR kód, ktorý vyzerá ako nálepka nalepená na inej, alebo má vyvýšené či zle orezané okraje, buďte okamžite podozrievaví. V reštauráciách, ak máte akékoľvek pochybnosti, je najlepšie opýtať sa čašníka alebo si vyžiadať papierový jedálny lístok, aby ste sa vyhli nepríjemným prekvapeniam.
Z technickej stránky je nevyhnutné nakonfigurovať telefón tak, aby pred otvorením zobrazoval cieľovú URL adresu . Venujte chvíľu jej prečítaniu: ak je doména „parking-madrid-pagos.com“ namiesto „madrid.es“, ide o podvod. Taktiež sa vyhnite sťahovaniu aplikácií, ktoré vyžadujú QR kód; vždy prejdite priamo do oficiálneho obchodu App Store alebo Google Play.
Pokročilá ochrana pre firmy a používateľov
Pre tých, ktorí riadia organizácie, nestačí len predviesť prezentáciu. Je potrebné implementovať do e-mailových filtrov nástroje na analýzu obrázkov , ktoré dokážu dekódovať QR kódy v reálnom čase a porovnať ich s databázami hrozieb. Použitie sandboxu, ktorý zahŕňa spustenie odkazu v izolovanom prostredí predtým, ako sa dostane k používateľovi, je jedným z najúčinnejších opatrení, ktoré sú v súčasnosti k dispozícii.
Pre priemerného používateľa zostáva najsilnejším nástrojom dvojfaktorové overovanie (MFA) . Aj keď sa podvodníkovi podarí ukradnúť vaše prihlasovacie údaje prostredníctvom stránky na odhalenie údajov, nebude mať prístup k vášmu účtu bez dočasného kódu odoslaného na váš mobilný telefón. Kľúčové je aj udržiavanie operačného systému aktualizovaného, pretože mnohé útoky zneužívajú bezpečnostné zraniteľnosti prehliadača, ktoré už boli opravené.
Čo robiť, ak ste už chytili návnadu
Ak si uvedomíte, že ste naskenovali škodlivý kód, konajte rýchlo. Ak ste webovú stránku iba otvorili, zatvorte kartu, vymažte históriu prehliadania a súbory cookie a spustite antivírusovú kontrolu. Ak ste však zadali osobné údaje, okamžite kontaktujte svoju banku , aby vám zablokovala karty a zmenila všetky heslá z čistého zariadenia.
Ak ste si nainštalovali podozrivú aplikáciu, odinštalujte ju a skontrolujte, aké povolenia ste jej udelili. V extrémnych situáciách, keď sa domnievate, že malvér napadol celý systém, je najbezpečnejším postupom obnoviť telefón do továrenských nastavení , aby ste odstránili všetky stopy spywaru, a nahlásiť incident národnej polícii.
Najlepšou obranou je zachovať si skeptický postoj voči QR kódom, ktoré sa objavujú z ničoho nič, a vždy overiť doménu webovej stránky pred zadaním akýchkoľvek informácií. Kombinácia ľudskej opatrnosti s nástrojmi, ako je dvojstupňové overenie a aktuálny operačný systém, drasticky znižuje pravdepodobnosť, že sa z jednoduchého skenovania stane finančná alebo súkromná nočná mora.