QR kodų sukčiavimas (quishing): kaip atpažinti

Quishing (QR + phishing) – tai sukčiavimas, kai vietoj nuorodos naudojamas QR kodas. Nuskenavus kodą telefonu, žmogus nukreipiamas į netikrą puslapį, kuris prašo prisijungimo duomenų, mokėjimo ar siūlo atsisiųsti kenkėjišką programą. Ši forma populiarėja, nes QR kodai tapo įprasti – meniu, mokėjimuose, bilietuose – ir jais pasitikima be didesnių abejonių.

Kodėl QR kodai patogūs sukčiams

• Adresas paslėptas: iš kodo neįmanoma iš akies pasakyti, kur jis veda.
• Skenuojama telefonu: mobiliajame ekrane sunkiau pamatyti tikrąjį domeną, o apsauga dažnai silpnesnė nei kompiuteryje.
• Fizinis pasitikėjimas: kodas ant popieriaus ar plakato atrodo oficialesnis nei laiškas.
• Apeina filtrus: QR kodas laiške dažnai yra paveikslėlis, todėl el. pašto apsauga nuorodos nepatikrina.

Kur pasitaiko kenkėjiški QR kodai

• El. laiške su „sąskaita“ ar „pristatymo patvirtinimu“, kur vietoj mygtuko įdėtas QR kodas.
• Ant fizinių lipdukų, užklijuotų virš tikro kodo – stovėjimo aikštelėse, ant terminalų ar plakatų.
• Netikruose mokėjimo prašymuose, imituojančiuose banką ar įstaigą.
• Reklaminiuose lankstinukuose ar „laimėjimo“ pranešimuose.

Kaip atpažinti quishing

Kadangi paties kodo peržiūrėti negalima, dėmesys tenka kontekstui ir tam, kas atsitinka nuskenavus.

• Netikėtas QR kodas laiške vietoje įprastos nuorodos ar teksto.
• Nuskenavus atsiveria puslapis, prašantis prisijungimo duomenų ar mokėjimo.
• Adresas naršyklėje neatitinka įmonės, kurios kodą neva skenuojate.
• QR kodo lipdukas atrodo užklijuotas ant kito, originalaus kodo.
• Skubos ar grasinimo tonas šalia kodo („skenuokite dabar, kitaip...“).

Ką daryti ir kaip apsisaugoti

• Prieš skenuodami įvertinkite, ar kodas patikimoje vietoje ir ar apskritai jo tikitės.
• Nuskenavę pažiūrėkite adresą prieš paspausdami „atidaryti“ – daug telefonų parodo nuorodą.
• Nesuvedinėkite prisijungimo ar kortelės duomenų per QR kodu atidarytą puslapį.
• Svarbias paslaugas (banką, paštą) atsidarykite programėle ar rankiniu būdu, ne per QR.
• Fizinėse vietose patikrinkite, ar kodas nėra užklijuotas lipdukas ant kito kodo.

Įsiminkite: QR kodas yra tik paslėpta nuoroda. Taikykite jam tą pačią taisyklę kaip ir bet kuriai nuorodai laiške – jei nesitikėjote, netikėkite.

Kaip paruošti komandą

Daugelis darbuotojų dar nežino, kad QR kodas gali būti ataka – tai reiškia, kad tai lengvas taikinys. Trumpas priminimas ir praktinės simuliacijos, apimančios QR scenarijus, greitai pakelia budrumą. Opsinel simuliacijos siunčiamos el. paštu, o QR kodų ir SMS sukčiavimą darbuotojai mokosi pamokose, todėl atpažįsta jį ir kituose kanaluose.