De toenemende dreiging van QR-code-gedreven phishing-schema's
Door de populariteit van QR-codes als snelle en gemakkelijke manier om informatie te delen, is de afgelopen jaren een nieuw soort cyberaanval ontstaan. Bedrijven lopen steeds meer risico op quishing, ook wel bekend als QR-code phishing. Phishing-e-mails bevatten QR-codes die hackers gebruiken om persoonlijke gegevens te verkrijgen.
Tweedimensionale barcodes, ook wel QR-codes (Quick Response-codes) genoemd, kunnen URL's, contactgegevens en andere gegevens bevatten. Wanneer een smartphone een QR-code scant, wordt doorgaans een website geopend of wordt een handeling uitgevoerd, zoals het toevoegen van een contactpersoon of het bellen van een nummer. Het vermogen van QR-codes om snel digitale content te leveren, heeft geleid tot brede acceptatie in diverse sectoren, waaronder marketing, bankwezen, detailhandel en zelfs overheidsdiensten.
Het gebruiksgemak van QR-codes heeft echter ook de aandacht getrokken van cybercriminelen die deze technologie misbruiken om phishingaanvallen uit te voeren. Deze aanvallen gebruiken QR-codes om gebruikers naar frauduleuze websites te leiden, gevoelige informatie te stelen of schadelijke software op hun apparaten te installeren.
Hoe QR-code phishingaanvallen werken
Een phishingaanval met QR-codes verloopt doorgaans op een eenvoudige maar effectieve manier. De methode maakt misbruik van het vertrouwen van gebruikers in QR-codes en de manier waarop deze gemakkelijk te manipuleren zijn.
Het creëren en verspreiden van kwaadaardige QR-codes
De eerste stap in een QR-code phishingaanval is het creëren van een schadelijke QR-code. Cybercriminelen gebruiken vaak QR-codegenerators om gepersonaliseerde codes te ontwerpen die gebruikers naar websites van hun keuze leiden. Deze sites kunnen lijken op authentieke platforms, zoals online bankportals, inlogpagina's van sociale media of e-commercewebsites. Om gebruikers verder te misleiden, kunnen aanvallers gebruikmaken van URL-verkortingsdiensten om de werkelijke bestemming te maskeren, waardoor het voor gebruikers moeilijker wordt om de kwaadaardige URL direct te herkennen.
De volgende fase omvat het verspreiden van de kwaadaardige QR-code. Aanvallers kunnen de code via verschillende kanalen verspreiden, zoals phishingmails, sms-berichten, socialemediaplatforms, fysieke locaties (zoals posters, flyers of advertenties) of zelfs nepwebsites.
De kwaadaardige website of actie
Zodra de gebruiker de QR-code scant, wordt hij doorgestuurd naar een frauduleuze website die eruitziet als een legitiem platform. Een phishingaanval met een QR-code kan bijvoorbeeld leiden naar een nep-inlogpagina van een bank, waar de gebruiker wordt gevraagd zijn gebruikersnaam, wachtwoord en andere persoonlijke gegevens in te voeren. In andere gevallen kunnen aanvallers sites creëren die angst of urgentie oproepen, zoals valse beveiligingswaarschuwingen van banken of e-mailproviders.
De exploitatie van gevoelige informatie
De aanvaller kan de gegevens van het slachtoffer misbruiken voor diverse snode doeleinden nadat deze op de phishingpagina zijn ingevoerd. Dit kan onder meer financiële fraude, identiteitsdiefstal, illegale accounttoegang of de verkoop van de persoonlijke gegevens van het slachtoffer via het dark web omvatten. Totdat er toegang is verkregen tot hun accounts of hun identiteit is gestolen, is het slachtoffer zich er mogelijk niet eens van bewust dat hij of zij het doelwit is van een phishingaanval.
De gestolen informatie kan worden gebruikt om andere leden van het netwerk van het slachtoffer te targeten of om phishingberichten te versturen naar de contactpersonen van het slachtoffer in een poging om de aanval te verspreiden.
Belangrijkste bevindingen
- We hebben een nieuwe trend ontdekt: phishingmails met QR-codes in PDF- en XLSX-bestanden.
- QR-codes die naar phishingwebsites leiden, worden tegenwoordig in PDF- en XLSX-bijlagen geplaatst in plaats van rechtstreeks in de e-mailtekst.
- Deze aanvallen zijn erop gericht inloggegevens te stelen voor kwaadaardige doeleinden.
Top 2 meest geïmiteerde entiteiten
- Microsoft: De meest voorkomende Microsoft-imitatie is het informeren van het doelwit dat zijn of haar multifactorauthenticatie of account binnenkort verloopt. De ontvanger wordt geïnformeerd dat hij of zij de toegang tot zijn of haar account verliest als hij of zij de instructies van de aanvaller om op een link te klikken of een bestand te downloaden, niet opvolgt.
- DocuSign: De ontvanger moet vaak documenten controleren en ondertekenen in DocuSign-imitaties. Cybercriminelen kunnen zich voordoen als een "document" van een bedrijfsbeheerder, of ze geven helemaal geen informatie.
Grafiek van Quishing gedetecteerd met behulp van pdf-bestanden
De afgelopen vier maanden hebben we gemerkt dat ongeveer 25% van alle phishingaanvallen een QR-code en een PDF-bestand bevatten.
Campagnedoelen
De campagne richt zich voornamelijk op bedrijven, maar kan soms ook persoonlijke aanvallen bevatten. In de tweede helft van 2024 schommelde het percentage doelwitten van phishingaanvallen tussen persoonlijke en zakelijke activa.
- Twee derde van de aanvallen is gericht op bedrijfsmiddelen van organisaties.
- 1/derde doel financiële gegevens en andere persoonlijke bezittingen.
In de meeste onderzochte steekproeven doen oplichters zich voor als bekende bedrijven. In meer dan de helft van alle aanvallen wordt Microsoft, inclusief SharePoint en OneDrive, nagebootst, gevolgd door DocuSign en andere.
Campagnes zoals Coper Trojan, CherryLoader en Star Blizzard maken gebruik van QR-codes die in frauduleuze documenten zijn ingesloten om persoonlijke en financiële informatie te stelen en malware te verspreiden.
Voorbeelden van Quishing-aanvallen
- Deze phishingmail, die DocuSign imiteert, vraagt de ontvanger om documenten te controleren en te ondertekenen door een QR-code in een bijgevoegde pdf te scannen. Na het scannen wordt de ontvanger doorgestuurd naar een namaakpagina van Microsoft.
- De ontvangers van deze phishingmail moesten de QR-code scannen om toegang te krijgen tot het vertrouwelijke document van Partnership Distribution. Zodra de code is gescand, worden ze doorgestuurd naar een neppagina en wordt er om een wachtwoord gevraagd voordat ze toegang krijgen tot het document.
- Deze phishingmail, die lijkt afkomstig te zijn van DocuSign, instrueert ontvangers om de QR-code in een bijgevoegde pdf te scannen om een document met de tekst 'Stock Agreement Distribution Agreement' te bekijken. Na het scannen wordt de e-mail doorgestuurd naar een neppagina van Microsoft.
De gevaren van QR-code phishing
QR-code phishingaanvallen kunnen om verschillende redenen extreem gevaarlijk zijn:
- Gebrek aan zicht: In tegenstelling tot URL's in e-mails of berichten zijn QR-codes niet leesbaar voor mensen, waardoor gebruikers niet gemakkelijk kunnen controleren waar de link naartoe leidt. Dit maakt het voor aanvallers eenvoudiger om kwaadaardige websites te verbergen en gebruikers ertoe te verleiden deze te bezoeken.
- Meer vertrouwen in QR-codes: QR-codes worden vaak gezien als een snelle, efficiënte en veilige manier om toegang te krijgen tot informatie, waardoor mensen ze meer vertrouwen dan traditionele links. Dit misplaatste vertrouwen maakt QR-codephishing bijzonder effectief.
- Snelheid van uitvoering: Het scannen van een QR-code gaat doorgaans snel en automatisch, waardoor gebruikers weinig tijd hebben om de link te bekijken of een weloverwogen beslissing te nemen. Dit snelle proces is aantrekkelijk voor aanvallers die snel misbruik willen maken van de kwetsbaarheden van gebruikers.
- Brede verspreiding: QR-codes kunnen eenvoudig worden gedeeld via verschillende platforms, zoals sociale media, e-mail en fysieke locaties, waardoor ze een groot publiek kunnen bereiken. Een kwaadaardige QR-code die in een openbare ruimte wordt geplaatst, kan door iedereen worden gescand, waardoor het bereik van de aanval wordt vergroot.
Valse QR-codes herkennen: typische indicaties
Er zijn verschillende indicatoren die u kunnen helpen bij het herkennen van valse QR-codes.
- Verdenking kan ontstaan als u QR-codes op onverwachte voorwerpen ontdekt, zoals willekeurige pakketten, parkeermeters of andere alledaagse plekken.
- Controleer een QR-code altijd op spelfouten, grof taalgebruik en afwijkingen ten opzichte van de bedrijfsnaam of het embleem voordat u deze scant.
- Een hangslotpictogram in de adresbalk, wat aangeeft dat de verbinding veilig is, of een snelle controle van de URL die aan de QR-code is gekoppeld, kunnen onthullen of deze u naar een valse website omleidt.
- Wees bovendien voorzichtig als u ongevraagd QR-codes per sms of e-mail ontvangt. In een poging slachtoffers te verleiden persoonlijke gegevens te verstrekken, gebruiken oplichters vaak phishingberichten om valse QR-codes te versturen.
MITER ATT&CK-tactieken waargenomen
| ATT&CK-tactiek | ATT&CK-techniek |
| EERSTE TOEGANG | Phishing::Spear Phishing-bijlage [T1566.001] |
| EXECUTIE | Gebruikersuitvoering::Kwaadaardige link [T1204.001] |
| Toegang tot referenties | Invoer vastleggen::Webportal vastleggen [T1056.003] |
| VERDEDIGINGSONTWIJKING | Imitatie [T1656] |
| COMMAND EN CONTROLE | Gegevenscodering: Standaardcodering [T1132.001] |
Hoe Seqrite Bescherm uzelf tegen phishingaanvallen met QR-codes.
Seqrite biedt een reeks beveiligingsmaatregelen om gebruikers te beschermen tegen QR-codephishingaanvallen. Dit is hoe ze helpen:
- Antifraude phishing Bescherming: Seqritehet winkelgedeelte van De antifraude-app van Quick Heal Biedt bescherming tegen QR-codephishing door QR-codes te scannen voordat gebruikers de gelinkte website mogen bezoeken. Als de QR-code naar een verdachte of frauduleuze website leidt, blokkeert de app de toegang of waarschuwt de gebruiker.
- Detectie van bedreigingen in realtime: Seqrite Endpoint Protection Kan schadelijke links of URL's in QR-codes detecteren. Als een QR-code naar een verdachte of schadelijke website leidt, Seqrite Endpoint Protection De realtime scanfunctie kan de website blokkeren voordat deze schade aanricht.
- Gedragsdetectie: Seqrite EDR Gebruikt gedragsanalyse om schadelijke activiteiten op uw apparaat te detecteren. Dit omvat het identificeren van verdachte apps of malware die mogelijk via QR-code-omleidingen worden geïnstalleerd, wat zorgt voor vroege detectie en preventie.
- Mobile Security: Seqrite Enterprise-mobiliteitsbeheer (EMM) Biedt bescherming voor Android-apparaten tegen schadelijke QR-codes en phishingpogingen. Het scant QR-codes op bedreigingen, blokkeert schadelijke apps en biedt browserbeveiliging om gebruikers te beschermen tegen phishing en malware.
Door deze beschermingslagen aan te brengen, Seqrite Quick Heal helpt gebruikers zich te beschermen tegen phishingaanvallen via QR-codes.
