Oszustwa na QR Code - co to takiego?
Oszustwa z wykorzystaniem kodów QR, czyli Quishing, to popularna forma oszustwa, którą oszuści zamaskowali za kodami QR. Te prowadzą do spreparowanych witryn, fałszywych formularzy, czy wprost do złośliwego oprogramowania. Kod QR jest do tego dobrym narzędziem, ponieważ nie mamy żadnej innej opcji aby sprawdzić dokąd prowadzi kod, niż poprzez zeskanowanie go. Nie wiedząc co kryje się za sekwencją czarnych i białych kwadracików, narażamy się na ryzyko, zwłaszcza skanując kody nieznanego, niepewnego pochodzenia.
Jak działa Oszustwa na QR Code - techniki stosowane przez oszustów
Quishing, czyli oszustwo na QR Code to o dziwo bardzo prosty dla oszustów sposób, aby zbierać masowe żniwo swoich oszust. Kody QR prawie każdy zna - czarno - biały kwadrat, którego sekwencja prowadzi do konkretnego linku. Po zeskanowaniu kodu, urządzenie automatycznie przenosi nas do strony, do której prowadzi zakodowany odnośnik. Nie trzeba wprowadzać adresu ręcznie, nic kopiować, przeklejać. Wystarczy naprowadzić obiektyw aparatu fotograficznego w telefonie na kod, tyle.
Oszuści postanowili wykorzystać właśnie tę łatwość otwierania załącznika i niewiedzę, jaki załącznik kryje się za sekwencją kodu. Podrobione kody mają rzekomo prowadzić do nagród, witryn e-płatności, czy wielu innych, a tymczasem przekierowują do sfałszowanych stron logowania do serwisów bankowości internetowej, a nawet bezpośrednio do złośliwego oprogramowania, które zapraszamy na nasze urządzenie w chwili zeskanowania kodu.
Od niedawna pojawiła się kolejna metoda zastosowania kodów QR, która jest szczególnie niebezpieczna dla dzieci i młodzieży, o czym również alarmuje CERT Polska.. Oszuści wyszukują swoje ofiary na forach, w serwisach społecznościowych, w grupach dyskusyjnych, najczęściej wśród dzieci i młodzieży. Nawiązują kontakt, próbują zyskać zaufanie, a następnie proponują zainstalowanie aplikacji Wiadomości od Google, oraz wysyłają kod QR, który ma skonfigurować aplikację. Aplikacja ma być pomocna do komunikacji i przesyłania przykładowo darmowych przedmiotów do wykorzystania w grach. Kod jednak służy temu, że urządzenie ofiary paruje z urządzeniem oszusta, dając mu dostęp do wysyłanych i odbieranych wiadomości, do listy kontaktów, a co najważniejsze, daje możliwość rozsyłać wiadomości. Ta metoda działania prowadzi do dwóch głównych scenariuszy. Pierwszy - mniej drastyczny - oszuści obciążają przejęty telefon SMSami Premium, nabijając wysokie rachunki. Drugi - bardziej groźny - oszuści szantażują swoje ofiary, wykorzystując do tego treści wiadomości oraz listę kontaktów.
Jakie środki ostrożności zachować by nie paść ofiarą Oszustwa na QR Code?
Podstawowym zabezpieczeniem przed byciem ofiarą oszustwa na QR Code, czyli Quishingu, jest nasz własny rozsądek. Mając świadomość czym są i jak działają kody QR, oraz fakt, że nie mamy pojęcia, co tak naprawdę kryje się za kodem, powinien niejednokrotnie powstrzymać nas od skanowania. Przede wszystkim powinniśmy unikać skanowania kodów QR, które pojawiają się jako samodzielne naklejki na słupach, znakach, które nie są nawet niczym opisane. Ogółem warto unikać skanowania kodów QR w przestrzeni miejskiej, jak i tych, z nieznanych źródeł. Każdorazowo warto się upewnić, czy witryna, która udostępnia kod jest wiarygodna. Sprawdźmy zawsze adres strony, czy posiada odpowiednie szyfrowanie i czy jest prawidłowy. Nie skanujemy kodów, które otrzymujemy w wiadomościach email, albo z innych nieznanych źródeł, a unikniemy na pewno nieprzyjemnych sytuacji.
Jak rozpoznać próbę Oszustwa na QR Code?
Rozpoznanie oszustwa na QR Code wcale nie jest łatwe, zwłaszcza, że same kody - normalne, czy te spreparowane przez oszustów - są takie same. Na pierwszy rzut oka nie można ocenić, czy dany kod QR zawiera odnośnik do złośliwego oprogramowania, czy spreparowanej strony. Warto jednak uważać na kody, czy to w przestrzeni miejskiej, czy w sieci, które nie są opatrzone żadnym dodatkowym komunikatem, czy logo. To prawie na pewno jest próba Quishingu. To samo tyczy się podsyłanych nam kodów QR z różnych źródeł, czy to w formie SMSa, czy maila. Jeżeli nie znamy nadawcy, czy powodu otrzymania takiego kodu, prawdopodobnie znów ktoś próbuje na nas Quishingu.
Jakie kroki należy podjąć, gdy padniemy ofiarą Oszustwa na QR Code?
W pierwszej kolejności powinniśmy złożyć zawiadomienie online do CERT Polska, która jest organizacją pozarządową, zajmującą się bezpieczeństwem w sieci. Prócz zgłoszenia o Quishingu w CERT, należy również złożyć stosowne zawiadomienie na policji. Zgłoszenie w tych dwóch miejscach pozwoli na zawiązanie współpracy na pewnym etapie śledzenia sprawców, co może podnieść szanse na ich ujęcie i cofnięcie już zaistniałych szkód.
Rola instytucji finansowych w ochronie przed Oszustwa na QR Code
Banki jak i pozostałe instytucje finansowe niewiele mogą zrobić w przypadku Quishingu, czyli oszustwa z wykorzystaniem kodów QR. Instytucje finansowe raczej nie korzystają z tej metody transferowania i udostępniania informacji, linków, czy plików. Natomiast cały czas, zarówno banki jak i pozostałe instytucje finansowe, alarmują o zagrożeniach, jakie czekają na nas w sieci, jakie przygotowują dla nas oszuści.
Podsumowanie najważniejszych informacji na temat Oszustwa na QR Code
Oszustwo na QR Code, czyli Quishing, to dość powszechna metoda oszustwa, która dodatkowo trudna do odkrycia, ze względu na samą specyfikę wykorzystanego “nośnika”. Kod QR wydaje się idealną przykrywką dla niestosownych linków czy witryn, ponieważ póki nie zeskanujemy kodu, nie wiemy, do czego prowadzi. Naklejki z kodem bez opisu, kody otrzymywane SMSem, maile, czy w komunikatorach, dziwne kody na stronach, lub kody na dziwnych stronach - to wszystko są przesłanki, że być może ktoś próbuje na nas Quishingu.
Komentarze