La menace croissante des tentatives d'hameçonnage utilisant des codes QR
Un nouveau type de cyberattaque est apparu ces dernières années, conséquence de la popularité des codes QR comme moyen simple et rapide de partager des informations. Les entreprises sont de plus en plus exposées au quishing, également appelé phishing par code QR. Les e-mails d'hameçonnage contiennent des codes QR que les pirates utilisent pour obtenir des données privées.
Les codes-barres bidimensionnels, appelés codes QR (codes à réponse rapide), peuvent contenir des URL, des coordonnées et d'autres données. Généralement, lorsqu'un smartphone scanne un code QR, un site web s'ouvre ou une action, comme l'ajout d'un contact ou l'appel d'un numéro, est effectuée. La capacité des codes QR à fournir rapidement du contenu numérique a conduit à leur adoption généralisée dans divers secteurs, notamment le marketing, la banque, la vente au détail et même les services gouvernementaux.
Cependant, la facilité d'utilisation des codes QR a également attiré l'attention des cybercriminels qui exploitent cette technologie pour mener des attaques d'hameçonnage. Ces attaques utilisent les codes QR pour rediriger les utilisateurs vers des sites web frauduleux, voler des informations sensibles ou installer des logiciels malveillants sur leurs appareils.
Comment fonctionnent les attaques de phishing par code QR
Une attaque de phishing par code QR suit généralement une méthode simple mais efficace qui tire parti de la confiance des utilisateurs dans les codes QR et de leur facilité de falsification.
Création et distribution de codes QR malveillants
La première étape d'une attaque de phishing par code QR consiste à créer un code QR malveillant. Les cybercriminels utilisent généralement des générateurs de codes QR pour concevoir des codes personnalisés qui redirigent les utilisateurs vers les sites web de leur choix. Ces sites peuvent ressembler à des plateformes authentiques, comme des portails bancaires en ligne, des pages de connexion aux réseaux sociaux ou des sites de commerce électronique. Pour tromper davantage les utilisateurs, les attaquants peuvent utiliser des services de raccourcissement d'URL pour masquer la véritable destination, rendant ainsi plus difficile la détection immédiate de l'URL malveillante.
La phase suivante consiste à diffuser le code QR malveillant. Les attaquants peuvent le diffuser par divers canaux, tels que des e-mails d'hameçonnage, des SMS, des plateformes de réseaux sociaux, des supports physiques (affiches, flyers ou publicités) ou même de faux sites web.
Le site Web ou l'action malveillante
Une fois le code QR scanné, l'utilisateur est redirigé vers un site web frauduleux conçu pour ressembler à une plateforme légitime. Par exemple, une attaque de phishing par code QR peut conduire à une fausse page de connexion bancaire, où l'utilisateur est invité à saisir son nom d'utilisateur, son mot de passe et d'autres informations personnelles. Dans d'autres cas, les attaquants peuvent créer des sites suscitant la peur ou l'urgence, comme de fausses alertes de sécurité provenant de banques ou de fournisseurs de messagerie.
L'exploitation d'informations sensibles
L'attaquant peut exploiter les informations de la victime à diverses fins malveillantes après les avoir saisies sur la page d'hameçonnage. Il peut s'agir de fraude financière, d'usurpation d'identité, d'accès illégal à un compte ou de vente de ses informations personnelles sur le dark web. Tant que ses comptes ne sont pas consultés ou que son identité n'est pas usurpée, la victime peut ne même pas se rendre compte qu'elle a été victime d'une attaque d'hameçonnage.
Les informations volées peuvent être utilisées pour cibler d’autres membres du réseau de la victime ou pour envoyer des messages de phishing aux contacts de la victime dans le but de propager l’attaque.
Principales conclusions
- Nous avons détecté une nouvelle tendance d’e-mails de phishing contenant des codes QR intégrés dans des fichiers PDF et XLSX.
- Les codes QR menant à des sites Web de phishing sont désormais placés dans des pièces jointes PDF et XLSX, plutôt que d'être inclus directement dans le corps de l'e-mail.
- Ces attaques visent à voler les identifiants de connexion à des fins malveillantes.
Top 2 des entités les plus usurpées
- Microsoft: L'usurpation d'identité Microsoft la plus courante consiste à informer la cible que son authentification multifacteur ou son compte est sur le point d'expirer. Le destinataire est informé qu'il perdra l'accès à son compte s'il ne suit pas les instructions de l'attaquant : cliquer sur un lien ou télécharger un fichier.
- Docusign: Le destinataire est souvent amené à examiner et signer des documents usurpés par Docusign. Les cybercriminels peuvent prétendre que le « document » provient d'un administrateur d'entreprise, ou ne fournir aucune information.
Graphique de Quishing détecté à l'aide de fichiers PDF
Au cours des quatre derniers mois, nous avons remarqué qu'environ 25 % de toutes les attaques de phishing incluent un code QR et un fichier PDF.
Cibles de la campagne
La campagne cible principalement les entreprises, mais elle peut aussi parfois viser des personnes. Au cours du dernier semestre 2024, le pourcentage de cibles d'attaques de phishing a fluctué entre les actifs personnels et les actifs organisationnels.
- Les actifs organisationnels sont la cible de deux tiers des attaques.
- 1/XNUMX cible les données financières et autres actifs personnels.
Dans la majorité des échantillons examinés, les escrocs se font passer pour des entreprises connues. Dans plus de la moitié des attaques, l'identité de Microsoft, notamment SharePoint et OneDrive, est usurpée, suivie de DocuSign et d'autres.
Des campagnes comme Coper Trojan, CherryLoader et Star Blizzard utilisent des codes QR intégrés dans des documents frauduleux pour voler des informations personnelles et financières et diffuser des logiciels malveillants.
Exemples d'attaques de quishing
- Cet e-mail d'hameçonnage, imitant DocuSign, invite le destinataire à consulter et signer des documents en scannant un code QR dans un PDF joint. Une fois scanné, il redirige vers une page Microsoft contrefaite.
- Les destinataires de cet e-mail d'hameçonnage ont été invités à scanner le code QR pour accéder au document confidentiel de Partnership Distribution. Une fois le code scanné, ils sont redirigés vers une fausse page et un mot de passe leur est demandé avant d'accéder au document.
- Cet e-mail d'hameçonnage, se faisant passer pour DocuSign, invite les destinataires à scanner le code QR d'un PDF joint pour consulter un document « Accord de distribution d'actions ». Après numérisation, l'e-mail redirige vers une fausse page Microsoft.
Les dangers du phishing par code QR
Les attaques de phishing par code QR peuvent être extrêmement dangereuses pour plusieurs raisons :
- Manque de visibilité : Contrairement aux URL des e-mails ou des messages, les codes QR ne sont pas lisibles par l'homme ; les utilisateurs ne peuvent donc pas facilement vérifier où mène le lien. Il est donc plus facile pour les pirates de dissimuler des sites web malveillants et d'inciter les utilisateurs à y accéder par ruse.
- Confiance accrue dans les codes QR : Les codes QR sont souvent perçus comme un moyen rapide, efficace et sécurisé d'accéder à l'information, ce qui incite les utilisateurs à leur faire davantage confiance qu'aux liens traditionnels. Cette confiance mal placée rend le phishing par code QR particulièrement efficace.
- Rapidité d'exécution : La lecture d'un code QR est généralement rapide et automatique, ce qui laisse peu de temps aux utilisateurs pour examiner le lien ou prendre des décisions éclairées. Cette rapidité attire les attaquants qui cherchent à exploiter rapidement les vulnérabilités des utilisateurs.
- Large distribution : Les codes QR peuvent être facilement partagés sur diverses plateformes comme les réseaux sociaux, les e-mails et les lieux physiques, ce qui leur permet d'atteindre un large public. Un code QR malveillant placé dans un lieu public pourrait être scanné par n'importe quel passant, augmentant ainsi la portée de l'attaque.
Reconnaître les faux codes QR : indications typiques
Il existe plusieurs indicateurs qui peuvent vous aider à repérer les faux codes QR.
- La suspicion peut être éveillée par des codes QR découverts sur des objets inattendus, tels que des colis aléatoires, des parcmètres ou d’autres lieux courants.
- Avant de scanner un code QR, vérifiez toujours qu'il ne contient pas de fautes d'orthographe, de langage grossier ou de divergences avec le nom ou l'emblème de l'entreprise.
- Une icône de cadenas dans la barre d'adresse, signifiant une connexion sécurisée, ou une vérification rapide de l'URL associée au code QR peut révéler s'il redirige vers un faux site Web.
- Soyez également vigilant si vous recevez des codes QR non sollicités par SMS ou e-mail. Pour inciter leurs victimes à divulguer des informations personnelles, les escrocs utilisent fréquemment des messages d'hameçonnage pour transmettre de faux codes QR.
Tactiques MITRE ATT&CK observées
| Tactique ATT&CK | Technique ATT&CK |
| ACCÈS INITIAL | Hameçonnage ::Pièce jointe pour hameçonnage ciblé [T1566.001] |
| EXÉCUTION | Exécution de l'utilisateur ::Lien malveillant [T1204.001] |
| ACCÈS AUX IDENTIFIANTS | Capture d'entrée ::Capture de portail Web [T1056.003] |
| ÉVASION DE DÉFENSE | Usurpation d'identité [T1656] |
| COMMANDEMENT ET CONTRÔLE | Encodage des données : Codage standard [T1132.001] |
Comment Seqrite Se protéger contre les attaques de phishing par code QR
Seqrite propose une gamme de mesures de sécurité pour protéger les utilisateurs contre les attaques de phishing par code QR. Voici comment elles contribuent :
- Antifraude et hameçonnage Protection: Seqritepartie vente au détail de Application antifraude de Quick Heal Offre une protection contre le phishing par code QR en scannant les codes QR avant d'autoriser les utilisateurs à visiter le site web lié. Si le code QR mène à un site suspect ou frauduleux, l'application bloquera l'accès ou alertera l'utilisateur.
- Détection des menaces en temps réel: Seqrite Endpoint Protection peut détecter les liens ou URL malveillants intégrés dans les codes QR. Si un code QR mène à un site Web suspect ou dangereux, Seqrite Endpoint Protection La fonction d'analyse en temps réel permet de bloquer le site web avant qu'il ne cause des dommages.
- Détection comportementale: Seqrite EDR Utilise l'analyse comportementale pour détecter les activités malveillantes sur votre appareil. Cela inclut l'identification des applications suspectes ou des logiciels malveillants susceptibles d'être installés par redirection par code QR, garantissant ainsi une détection et une prévention précoces.
- mobile Security: Seqrite Gestion de la mobilité d'entreprise (EMM) Offre une protection aux appareils Android contre les codes QR malveillants et les tentatives de phishing. Il analyse les codes QR à la recherche de menaces, bloque les applications malveillantes et protège la navigation des utilisateurs contre le phishing et les logiciels malveillants.
En fournissant ces niveaux de protection, Seqrite Quick Heal aide les utilisateurs à se défendre contre les menaces d'hameçonnage basées sur les codes QR.
