Quishing – metoda oszustwa internetowego (forma phishingu), polegająca na przekazaniu ofierze oszustwa do zeskanowania odpowiednio spreparowanego kodu QR.
Przygotowanie ataku thumb|Zniszczony kod QR w przestrzeni publicznej Oszuści mogą znaleźć ofiarę korzystając z komunikatorów lub mediów społecznościowych i za ich pośrednictwem wysyłać jej spreparowany kod QR, możliwe jest także przekazanie kodu QR w inny sposób – na przykład na ulotce wręczonej na ulicy bądź poprzez umieszczenie kodu w miejscu publicznym (w 2023 roku złapano na przykład oszustów rozklejających fałszywe kody QR na krakowskich parkomatach).
Aby dodatkowo zachęcić ofiarę do zeskanowania kodu, stosuje się różne techniki manipulacyjne – na przykład: opisuje się go jako prowadzący do odbioru nagrody, dokonania płatności mobilnej, obiecuje się oszczędność czasu i ułatwienie życie lub straszy promocją ograniczoną czasowo.
Metody quishingu Kiedy ofiara zeskanuje przekazany przez hakera kod QR, zostaje przekierowana pod przygotowany przez niego adres – na przykład: podobnie jak w przypadku tradycyjnych ataków phishingowych – strony internetowej do złudzenia przypominającej stronę banku lub innej wiarygodnej instytucji, wymagającej zalogowania – po podaniu danych logowania, są one przechwytywane przez atakującego; strony umożliwiające dokonanie płatności – rzekomo pożądanej przez użytkownika (np. opłaty parkingowej), strony pobierania złośliwego oprogramowania; link uwierzytelniający logowanie na urządzeniu oszusta na konto użytkownika w danej aplikacji. Opisano przejmowanie w ten sposób dostępu do aplikacji Wiadomości od Google – działanie to umożliwia oszustowi czytanie wiadomości SMS ofiary, dostęp do listy kontaktów z urządzenia, wysyłkę SMS-ów w imieniu ofiary (także dodatkowo płatnych).
Zapobieganie i obrona przed atakami quishingowymi thumb|Skanowanie kodu QR za pomocą aplikacji informującej pod jaki adres URL prowadzi zeskanowany kod Jako główne metody ochrony przed atakami quishingowymi wskazuje się: weryfikację wiarygodności kodu QR i powiązanego z nim opisu (np. na plakacie czy ulotce), weryfikację autentyczności strony, na którą trafiło się po zeskanowaniu kodu, zachowanie szczególnej ostrożności w przypadku kodów QR z dołączoną wiadomością wzbudzającą szczególne emocje, wyłączenie niezaufanym aplikacjom dostępu do kamery w urządzeniu mobilnym (w celu uniknięcia niezamierzonego zeskanowania kodu), wykorzystywanie wyłącznie oficjalnych aplikacji do płatności w miejscach publicznych. Każdy fakt padnięcia ofiarą podobnego oszustwa należy zgłosić policji.
Przypisy
Kategoria:Kody kreskowe Kategoria:Cyberataki Kategoria:Przestępstwa komputerowe