التهديد المتزايد لمخططات التصيد الاحتيالي التي تعتمد على رمز الاستجابة السريعة (QR Code)
برز نوع جديد من الهجمات الإلكترونية في السنوات الأخيرة نتيجةً لشيوع استخدام رموز الاستجابة السريعة (QR codes) كوسيلة سريعة وسهلة لمشاركة المعلومات. وتتعرض الشركات بشكل متزايد لخطر الاختراق، المعروف أيضًا باسم التصيد الاحتيالي باستخدام رموز الاستجابة السريعة (QR code phishing). تحتوي رسائل التصيد الاحتيالي على رموز استجابة سريعة (QR code phishing) يستخدمها المتسللون للحصول على بيانات خاصة.
تتميز الباركودات ثنائية الأبعاد، المعروفة باسم رموز الاستجابة السريعة (QR codes)، بقدرتها على تخزين عناوين URL ومعلومات الاتصال وبيانات أخرى. عادةً، عند مسح رمز الاستجابة السريعة بواسطة هاتف ذكي، يُفتح موقع ويب أو تُجرى عملية مثل إضافة جهة اتصال أو الاتصال برقم. وقد أدت قدرة رموز الاستجابة السريعة على توفير محتوى رقمي سريع إلى انتشارها على نطاق واسع في مختلف القطاعات، بما في ذلك التسويق والخدمات المصرفية وتجارة التجزئة، وحتى الخدمات الحكومية.
ومع ذلك، لفتت سهولة استخدام رموز الاستجابة السريعة (QR Codes) انتباه مجرمي الإنترنت الذين يستغلون هذه التقنية لشن هجمات التصيد الاحتيالي. تستخدم هذه الهجمات رموز الاستجابة السريعة لتوجيه المستخدمين إلى مواقع ويب احتيالية، أو سرقة معلومات حساسة، أو تثبيت برامج ضارة على أجهزتهم.
كيف تعمل هجمات التصيد الاحتيالي باستخدام رمز الاستجابة السريعة (QR Code)
عادةً ما يتبع هجوم التصيد الاحتيالي باستخدام رمز الاستجابة السريعة QR طريقة مباشرة ولكنها فعالة تستغل ثقة المستخدمين في رموز الاستجابة السريعة وسهولة التلاعب بها.
إنشاء وتوزيع رموز الاستجابة السريعة الضارة
تتضمن الخطوة الأولى في هجوم التصيد الاحتيالي باستخدام رمز الاستجابة السريعة إنشاء رمز استجابة سريعة ضار. يستخدم مجرمو الإنترنت عادةً مُولِّدات رموز الاستجابة السريعة لتصميم رموز مخصصة تُوجِّه المستخدمين إلى مواقع ويب من اختيارهم. قد تُشبه هذه المواقع منصاتٍ حقيقية، مثل بوابات الخدمات المصرفية الإلكترونية، أو صفحات تسجيل الدخول إلى مواقع التواصل الاجتماعي، أو مواقع التجارة الإلكترونية. ولمزيد من خداع المستخدمين، قد يستخدم المهاجمون خدمات اختصار عناوين URL لإخفاء الوجهة الحقيقية، مما يُصعِّب على المستخدمين اكتشاف عنوان URL الضار فورًا.
تتضمن المرحلة التالية نشر رمز الاستجابة السريعة الخبيث. يمكن للمهاجمين نشر الرمز عبر قنوات متعددة، مثل رسائل التصيد الاحتيالي، والرسائل النصية، ومنصات التواصل الاجتماعي، والمواقع المادية (مثل الملصقات والمنشورات والإعلانات)، أو حتى المواقع الإلكترونية المزيفة.
الموقع أو الإجراء الخبيث
بمجرد مسح المستخدم لرمز الاستجابة السريعة، يُوجَّه إلى موقع ويب احتيالي مُصمَّم ليبدو وكأنه منصة شرعية. على سبيل المثال، قد يؤدي هجوم التصيد الاحتيالي باستخدام رمز الاستجابة السريعة إلى صفحة تسجيل دخول مصرفية مزيفة، حيث يُطلب من المستخدم إدخال اسم المستخدم وكلمة المرور وبيانات شخصية أخرى. في حالات أخرى، قد يُنشئ المهاجمون مواقع تُثير الخوف أو تُثير القلق، مثل تنبيهات أمنية مزيفة من البنوك أو مُقدِّمي خدمات البريد الإلكتروني.
استغلال المعلومات الحساسة
يمكن للمهاجم استغلال معلومات الضحية لأغراض خبيثة متعددة بعد إدخالها في صفحة التصيد الاحتيالي. قد يشمل ذلك الاحتيال المالي، أو سرقة الهوية، أو الوصول غير القانوني إلى الحساب، أو بيع معلومات الضحية الشخصية عبر الإنترنت المظلم. قد لا يدرك الضحية أنه كان هدفًا لهجوم تصيد احتيالي حتى يتم الوصول إلى حساباته أو انتحال هويته.
يمكن استخدام المعلومات المسروقة لاستهداف أعضاء آخرين في شبكة الضحية أو لإرسال رسائل تصيد إلى جهات اتصال الضحية في محاولة لنشر الهجوم.
النتائج الرئيسية
- لقد اكتشفنا اتجاهًا جديدًا لرسائل التصيد الاحتيالي عبر البريد الإلكتروني والتي تحتوي على رموز QR مضمنة في ملفات PDF وXLSX.
- يتم الآن وضع رموز الاستجابة السريعة QR التي تؤدي إلى مواقع التصيد الاحتيالي في مرفقات PDF وXLSX، بدلاً من تضمينها مباشرة في نص البريد الإلكتروني.
- تهدف هذه الهجمات إلى سرقة بيانات اعتماد تسجيل الدخول لأغراض خبيثة.
أكثر كيانين يتم انتحال هويتهما
- مايكروسوفت: أكثر عمليات انتحال شخصية مايكروسوفت شيوعًا هي إبلاغ الهدف باقتراب انتهاء صلاحية المصادقة متعددة العوامل أو حسابه. يُبلَّغ المتلقي بأنه سيفقد الوصول إلى حسابه إذا لم يتبع تعليمات المهاجم بالنقر على رابط أو تنزيل ملف.
- Docusignكثيرًا ما يُطلب من المستلم فحص المستندات وتوقيعها باستخدام تقليد Docusign. قد يتظاهر مجرمو الإنترنت بأن "الوثيقة" صادرة عن جهة إدارية، أو قد لا يقدمون أي معلومات على الإطلاق.
رسم بياني لـ Quishing الذي تم اكتشافه باستخدام ملفات pdf
على مدى الأشهر الأربعة الماضية، لاحظنا أن حوالي 25% من جميع هجمات التصيد الاحتيالي تتضمن رمز الاستجابة السريعة وملف PDF.
أهداف الحملة
تستهدف الحملة الشركات في المقام الأول، ولكنها قد تستهدف أيضًا الأفراد في بعض الأحيان. خلال النصف الأخير من عام ٢٠٢٤، تراوحت نسبة أهداف هجمات التصيد الاحتيالي بين الأفراد والمؤسسات.
- تشكل الأصول التنظيمية هدفًا لثلثي الهجمات.
- 1/XNUMX البيانات المالية المستهدفة والأصول الشخصية الأخرى.
في غالبية العينات التي خضعت للفحص، ينتحل المحتالون صفة شركات معروفة. في أكثر من نصف الهجمات، انتحل المحتالون هوية مايكروسوفت، بما في ذلك SharePoint وOneDrive، تليها DocuSign وغيرها.
تستخدم حملات مثل Coper Trojan وCherryLoader وStar Blizzard رموز QR المضمنة في المستندات الاحتيالية لسرقة المعلومات الشخصية والمالية وتوزيع البرامج الضارة.
أمثلة على هجمات Quishing
- هذه الرسالة الإلكترونية الاحتيالية، التي تُقلّد DocuSign، تطلب من المُستلِم مراجعة المستندات وتوقيعها عبر مسح رمز الاستجابة السريعة (QR) في ملف PDF مُرفق. بعد مسحه، يُعاد توجيهه إلى صفحة مايكروسوفت مزيفة.
- طُلب من متلقي رسالة التصيد الاحتيالي مسح رمز الاستجابة السريعة للوصول إلى الوثيقة السرية لشركة Partnership Distribution. بعد مسح الرمز، يُعاد توجيههم إلى صفحة مزيفة ويُطلب منهم إدخال كلمة مرور قبل الوصول إلى الوثيقة.
- هذه الرسالة الإلكترونية الاحتيالية، التي تدّعي أنها من DocuSign، تطلب من المستلمين مسح رمز الاستجابة السريعة في ملف PDF مرفق لمراجعة مستند "اتفاقية توزيع الأسهم". بعد المسح، يُعاد توجيههم إلى صفحة مايكروسوفت مزيفة.
مخاطر التصيد الاحتيالي عبر رمز الاستجابة السريعة
يمكن أن تكون هجمات التصيد عبر رمز الاستجابة السريعة (QR Code) خطيرة للغاية لعدة أسباب:
- قلة الرؤية: بخلاف عناوين URL في رسائل البريد الإلكتروني أو الرسائل النصية، لا يمكن للبشر قراءة رموز الاستجابة السريعة، لذا لا يمكن للمستخدمين التحقق بسهولة من وجهة الرابط. هذا يُسهّل على المهاجمين إخفاء المواقع الضارة وخداع المستخدمين للوصول إليها.
- زيادة الثقة في رموز الاستجابة السريعة: غالبًا ما يُنظر إلى رموز الاستجابة السريعة (QR codes) على أنها وسيلة سريعة وفعّالة وآمنة للوصول إلى المعلومات، مما يدفع الناس إلى الثقة بها أكثر من الروابط التقليدية. هذه الثقة المغلوطة تجعل التصيد الاحتيالي عبر رموز الاستجابة السريعة فعالًا للغاية.
- سرعة التنفيذ: عادةً ما يكون مسح رمز الاستجابة السريعة سريعًا وتلقائيًا، مما لا يترك سوى وقت قصير للمستخدمين لفحص الرابط أو اتخاذ قرارات حذرة. تجذب هذه العملية السريعة المهاجمين الذين يسعون إلى استغلال نقاط ضعف المستخدمين بسرعة.
- التوزيع الواسع: يمكن مشاركة رموز الاستجابة السريعة (QR codes) بسهولة عبر منصات متنوعة، مثل مواقع التواصل الاجتماعي والبريد الإلكتروني، وفي الأماكن العامة، مما يتيح لها الوصول إلى جمهور واسع. يمكن لأي شخص يمرّ بجوار رمز استجابة سريعة خبيث موضوع في مكان عام أن يمسحه ضوئيًا، مما يزيد من نطاق الهجوم.
التعرف على رموز الاستجابة السريعة (QR) الزائفة: المؤشرات النموذجية
هناك العديد من المؤشرات التي يمكن أن تساعدك على اكتشاف رموز الاستجابة السريعة المزيفة.
- قد يثير اكتشاف رموز الاستجابة السريعة QR على أشياء غير متوقعة، مثل الطرود العشوائية، أو عدادات مواقف السيارات، أو غيرها من الأماكن الشائعة، الشكوك.
- قبل مسح رمز الاستجابة السريعة (QR)، تأكد دائمًا من عدم وجود أخطاء إملائية أو لغة سيئة أو تناقضات مع اسم الشركة أو شعارها.
- يمكن أن يكشف رمز القفل في شريط العناوين، الذي يدل على اتصال آمن، أو الفحص السريع لعنوان URL المرتبط برمز الاستجابة السريعة QR، ما إذا كان يؤدي إلى إعادة التوجيه إلى موقع ويب مزيف.
- بالإضافة إلى ذلك، توخَّ الحذر إذا تلقيتَ رموز QR غير مرغوب فيها عبر الرسائل النصية أو البريد الإلكتروني. في محاولةٍ لخداع الضحايا ودفعهم للكشف عن معلوماتهم الشخصية، يستخدم المحتالون غالبًا رسائل التصيد الاحتيالي لإرسال رموز QR مزيفة.
تكتيكات MITER ATT&CK التي تمت ملاحظتها
| تكتيك ATT&CK | تقنية ATT&CK |
| الوصول الأولي | التصيد الاحتيالي::مرفق التصيد الرمحي [T1566.001] |
| إعدام | تنفيذ المستخدم::رابط ضار [T1204.001] |
| الوصول إلى بيانات الاعتماد | التقاط الإدخال::التقاط بوابة الويب [T1056.003] |
| التهرب الدفاعي | انتحال الشخصية [T1656] |
| القيادة والسيطرة | ترميز البيانات: الترميز القياسي [T1132.001] |
كيفية Seqrite الحماية من هجمات التصيد الاحتيالي باستخدام رمز الاستجابة السريعة
Seqrite يقدم مجموعة من إجراءات الأمان لحماية المستخدمين من هجمات التصيد الاحتيالي عبر رمز الاستجابة السريعة. إليك كيف تساعد:
- مكافحة الاحتيال والتصيد الاحتيالي الحماية: Seqriteقسم البيع بالتجزئة تطبيق Quick Heal لمكافحة الاحتيال يوفر التطبيق حماية من التصيد الاحتيالي عبر رموز الاستجابة السريعة (QR code) من خلال مسح رموز الاستجابة السريعة قبل السماح للمستخدمين بزيارة الموقع المرتبط. إذا قاد رمز الاستجابة السريعة إلى موقع مشبوه أو احتيالي، فسيحظر التطبيق الوصول أو يُنبه المستخدم.
- الكشف عن التهديدات في الوقت الحقيقي: Seqrite Endpoint Protection يمكن للنظام اكتشاف الروابط أو عناوين المواقع الإلكترونية الضارة المضمنة في رموز الاستجابة السريعة (QR). إذا أدى رمز الاستجابة السريعة إلى موقع ويب مشبوه أو ضار، Seqrite Endpoint Protection يمكن لميزة المسح في الوقت الفعلي حظر الموقع الإلكتروني قبل أن يتسبب في حدوث ضرر.
- الكشف السلوكي: Seqrite EDR يستخدم تحليل السلوك للكشف عن الأنشطة الضارة على جهازك. يشمل ذلك تحديد التطبيقات المشبوهة أو البرامج الضارة التي قد تُثبّت عبر عمليات إعادة توجيه رمز الاستجابة السريعة، مما يضمن الكشف المبكر والوقاية.
- الأمن موبايل: Seqrite إدارة التنقل للمؤسسات (EMM) يوفر حماية لأجهزة أندرويد من رموز الاستجابة السريعة الضارة ومحاولات التصيد الاحتيالي. يفحص رموز الاستجابة السريعة بحثًا عن التهديدات، ويحظر التطبيقات الضارة، ويوفر حماية للتصفح لحماية المستخدمين من التصيد الاحتيالي والبرامج الضارة.
من خلال توفير هذه الطبقات من الحماية، Seqrite ويساعد تطبيق Quick Heal المستخدمين على الحماية من تهديدات التصيد الاحتيالي القائمة على رمز الاستجابة السريعة (QR).
