Шахрайство з QR-кодами: Quishing (квішинг)

master
31 Жовтня 2024

QR-коди, що виникли як зручний спосіб швидкого доступу до інформації, все частіше стають інструментом для шахрайських схем. Одним із таких нових методів шахрайства є квішинг (англ. “quishing” — QR-фішинг), який використовує QR-коди для обману користувачів та отримання конфіденційної інформації. У цій статті розглянемо механізм дії квішингу, його небезпеки, приклади атак, а також способи захисту від цієї загрози.

Що таке квішинг?

Квішинг — це форма фішингу, що використовує QR-коди як засіб перенаправлення користувачів на фальшиві або небезпечні сайти, завантаження шкідливого програмного забезпечення або збору даних. Шахраї генерують підроблений QR-код, який виглядає легітимно, і заманюють жертв за допомогою рекламних оголошень, постерів, листівок, або навіть розміщення цих кодів у громадських місцях.

Як працює квішинг?

Користувач сканує QR-код, не підозрюючи, що він може бути шахрайським. Як тільки QR-код сканований, він автоматично перенаправляє користувача на вебсайт, який зовні схожий на відому платформу чи сервіс. На цьому сайті користувача можуть просити ввести облікові дані, підтвердити свою особистість, вказати номер банківської картки або завантажити додаток.

Як ідентифікувати квішинг?

  1. Перевіряйте URL-адресу після сканування. Якщо після сканування QR-коду адреса виглядає підозріло або не відповідає тому, що ви очікували, краще не переходьте за посиланням.
  2. Скануйте лише коди з надійних джерел. Слід уникати QR-кодів, розміщених у громадських місцях без пояснення або маркування.
  3. Аналізуйте формат та зміст вебсторінки. Фішингові сайти часто мають невеликі помилки у форматуванні чи стилі. Якщо сторінка виглядає незвично або на ній відсутня типова для компанії інформація — це може бути ознакою шахрайства.

Якщо ви вже у пастці шахрая

Якщо ви випадково ввели особисті дані або банківську інформацію на підозрілому сайті, який був відкритий через QR-код, виконайте наступні дії:

  1. Негайно змініть паролі. Якщо ви ввели свої облікові дані, як-от пароль чи логін, негайно змініть їх на офіційному сайті.
  2. Зв’яжіться з банком. Якщо ви надали банківські реквізити, негайно зв’яжіться зі своїм банком та повідомте про можливе шахрайство. Вони можуть допомогти заблокувати картку чи активувати додатковий захист.
  3. Скануйте свій пристрій на наявність шкідливого ПЗ. Якщо після сканування QR-коду було завантажено файл або додаток, видаліть його та проведіть перевірку пристрою на наявність шкідливого ПЗ.

Як уникнути квішингу заздалегідь?

  1. Навчіться розпізнавати надійні джерела. Скануйте QR-коди лише з офіційних або перевірених джерел. Уникайте сумнівних оголошень та електронних листів з QR-кодами.
  2. Використовуйте захисне ПЗ. Сучасні антивірусні програми можуть перевіряти безпечність сайтів, які ви відкриваєте через QR-коди.
  3. Уникайте введення конфіденційної інформації. Якщо після сканування QR-коду вас просять ввести конфіденційні дані, як-от паролі або банківські реквізити, утримайтеся від цього.

Приклад

  • Випадок у 2021 році, коли зловмисники розміщували підроблені QR-коди на парковках, щоб обманом зібрати платежі за паркування, які насправді йшли на їхні рахунки.
  • У 2022 році Starbucks зіткнувся з випадком квішингу, коли зловмисники розміщували QR-коди на кав’ярнях компанії, пропонуючи нібито знижки та бонуси. Скануючи код, користувачі переходили на фальшивий сайт, де їх просили ввести особисті дані або інформацію платіжної картки. Цей випадок наочно продемонстрував, наскільки легко люди можуть потрапити в пастку через довіру до бренду. Starbucks оперативно повідомив своїм клієнтам про загрозу та видалив шахрайські коди, однак цей інцидент став потужним уроком для компанії та користувачів.

Протидія квішингу:

  1. Підвищення обізнаності користувачів. Компанії та організації можуть проводити освітні кампанії для користувачів, розповідаючи про ризики шахрайства з QR-кодами.
  2. Використання безпечних QR-кодів. Офіційні заклади можуть маркувати свої QR-коди логотипом компанії або іншими візуальними елементами, щоб відрізнити їх від підробок.
  3. Мобільні додатки для безпеки. Розробники можуть створювати додатки, які перевіряють QR-коди перед відкриттям сайту. Це дає можливість блокувати шкідливі посилання до того, як користувач потрапить на небезпечний сайт.
  4. Впровадження додаткових заходів захисту в банках. Багато банків пропонують захисні механізми для транзакцій через QR-коди, наприклад, підтвердження через двофакторну аутентифікацію.

Висновок

Квішинг — це сучасна загроза, яка потребує обережності та обізнаності користувачів. Хоча QR-коди дуже зручні, вони також несуть у собі ризики, і зловмисники постійно шукають нові способи обману. Знання, як розпізнати підроблені QR-коди, та дотримання заходів безпеки можуть допомогти уникнути квішинг-атак і захистити свою конфіденційну інформацію.