Quishing to phishing z innym punktem wejścia
Quishing oznacza wykorzystanie kodu QR w scenariuszu phishingowym. Kod może prowadzić do strony podszywającej się pod znaną usługę, formularza wyłudzającego informacje albo kolejnego etapu oszustwa. Nie jest osobnym rodzajem złośliwego oprogramowania. To sposób dostarczenia użytkownika do miejsca, w którym ktoś próbuje nadużyć jego zaufania.
Sam kod QR jest nośnikiem danych. Może zawierać adres, tekst lub informacje przeznaczone dla konkretnej aplikacji. Nie każdy kod otwiera stronę, a samo rozpoznanie wzoru przez aparat nie oznacza przekazania hasła. Trzeba oddzielić odczyt kodu, otwarcie jego zawartości i późniejsze wykonanie czynności. Każdy z tych etapów daje inne informacje o ryzyku.
W ocenie bezpieczeństwa ważny jest cały kontekst: skąd pochodzi kod, dokąd prowadzi i czego żąda miejsce docelowe. To samo wygląda inaczej na oczekiwanym bilecie, w niezamówionej wiadomości o koncie i na naklejce umieszczonej w przestrzeni publicznej. Rozpoznawalny format nie jest powodem, by pominąć te pytania.
Wzór jest widoczny. Adres pojawia się później.
Czytelny link daje szansę zobaczenia domeny jeszcze przed przejściem na stronę. W przypadku QR użytkownik widzi przede wszystkim graficzny wzór i opis nad nim. Musi użyć aparatu lub czytnika, aby poznać zakodowaną zawartość. W tym momencie może już być przekonany, że wykonuje bezpieczną czynność, bo zaufał dokumentowi lub miejscu, w którym znalazł kod.
NCSC zwraca uwagę, że QR może maskować odnośnik w wiadomości i przenosić interakcję na prywatny telefon. Praktyczną konsekwencją jest konieczność oceny adresu po jego odczytaniu. Jeżeli aplikacja pokazuje podgląd, warto go wykorzystać przed otwarciem, zamiast traktować go jak techniczny ekran do szybkiego pominięcia.
Dobry proces nie powinien wymagać analizowania gęstego wzoru ani rozpoznawania jego wyglądu. Żaden kolor, ramka, logo w środku czy jakość wydruku nie potwierdzają wiarygodności adresu. Użytkownik potrzebuje czytelnej informacji o celu oraz możliwości rezygnacji bez utraty dostępu do usługi, którą chciał obsłużyć.
Materiał źródłowy: NCSC: QR Codes - what’s the real risk?.
Wiadomość, dokument i fizyczna naklejka
Kod może znajdować się w treści e-maila, załączonym dokumencie, prezentacji lub komunikacie firmowym. Otoczenie sugeruje wtedy, że odnośnik jest częścią znanego procesu. Szczególnie istotne są prośby dotyczące dostępu: potwierdzenia konta, odczytania dokumentu czy zmiany metody logowania. QR bywa przedstawiany jako wygodny sposób wykonania zadania na telefonie.
W przestrzeni fizycznej rolę wiadomości przejmuje miejsce. Użytkownik oczekuje określonej funkcji kodu na parkingu, ulotce czy tablicy informacyjnej. Warto sprawdzić, czy naklejka nie przykrywa innej i czy wskazany operator zgadza się z usługą, z której zamierzamy skorzystać. Przy płatności dodatkowo trzeba zweryfikować odbiorcę oraz opis operacji.
Nie chodzi o uznanie wszystkich kodów za podejrzane. Organizacja może ograniczyć niepewność, umieszczając obok QR czytelny adres i nazwę odpowiedzialnej jednostki. Powinna również zapewnić alternatywną drogę do tej samej sprawy. Jeśli pracownik może otworzyć dokument w znanym systemie, nie musi podejmować decyzji wyłącznie na podstawie grafiki otrzymanej w wiadomości.
Dlaczego ochrona poczty potrzebuje analizy obrazu
Mechanizm, który ocenia tylko tekstowe linki w wiadomości, może nie dostać adresu ukrytego w QR. Potrzebny jest dodatkowy etap: rozpoznanie kodu w obrazie, odczytanie zawartości i ocena URL. Znaczenie ma również obsługa załączników oraz warunków, w których obraz jest trudniejszy do zinterpretowania.
Nie oznacza to, że współczesna ochrona poczty jest bezradna wobec QR. Microsoft opisuje w Defender for Office 365 wydobywanie adresów z kodów oraz analizę obrazów i kontekstu wiadomości. Możliwości zależą od konkretnego produktu i konfiguracji. Przy przeglądzie zabezpieczeń warto pytać o obsługiwane scenariusze, zamiast przyjmować ogólne stwierdzenie, że „QR omija filtry”.
Druga granica pojawia się po dostarczeniu wiadomości. Pracownik ogląda ją na komputerze, ale otwiera adres na telefonie. Z perspektywy projektu ochrony są to dwa urządzenia i potencjalnie dwa różne zestawy zabezpieczeń. Test powinien obejmować tę zmianę, a nie kończyć się na sprawdzeniu, czy załącznik został przeskanowany podczas odbioru.
Materiał źródłowy: Microsoft: wykrywanie phishingu wykorzystującego kody QR.
Pierwsza domena może nie być miejscem docelowym
Adres odczytany z kodu może przekierować przeglądarkę dalej. Legalne systemy korzystają z tego między innymi do obsługi zmiennych materiałów i pomiaru kampanii. W oszustwie taka sama właściwość utrudnia odbiorcy ustalenie, gdzie ostatecznie znajdzie się formularz. Ocena pierwszego widocznego hosta jest wtedy tylko fragmentem obrazu.
Z punktu widzenia użytkownika kluczowy moment następuje przed przekazaniem danych. Trzeba sprawdzić stronę, na której faktycznie odbywa się logowanie lub płatność. Jeżeli cel zmienia się w sposób niezrozumiały, można przerwać i wejść do usługi znaną drogą. Nie ma obowiązku dokończenia procesu tylko dlatego, że rozpoczął się od profesjonalnie przygotowanego materiału.
Dla zespołu technicznego oznacza to potrzebę rozróżnienia adresu wejściowego, łańcucha przekierowań i adresu końcowego. W APT odpowiedź API udostępnia finalUrl oraz redirectChain obok oceny ryzyka. Integrator może dzięki temu zachować kontekst konkretnej analizy. Wynik powinien pozostać powiązany z czasem sprawdzenia, ponieważ zawartość sieciowa może się później zmienić.
Telefon zmienia warunki podejmowania decyzji
Na telefonie pasek adresu zajmuje niewiele miejsca, a część interfejsu znika podczas przewijania. Użytkownik może przechodzić między aparatem, przeglądarką i aplikacją, tracąc z pola widzenia pierwotną wiadomość. Przy projektowaniu procedur warto uwzględnić, że nie będzie porównywał dwóch szerokich okien tak jak na komputerze.
Nie należy przy tym mylić QR używanego do otwarcia strony z kodem służącym do powiązania urządzenia lub sesji. CERT Polska opisał oszustwo, w którym pretekst związany z kodem prowadził do połączenia usługi wiadomości z cudzym urządzeniem. To pokazuje, dlaczego komunikat aplikacji po zeskanowaniu ma znaczenie: użytkownik powinien wiedzieć, czy otwiera informację, czy przyznaje dostęp.
Prośba o instalację aplikacji, nadanie nieoczekiwanych uprawnień lub zatwierdzenie nowego urządzenia wymaga osobnej oceny. Żadna z tych czynności nie wynika automatycznie z potrzeby zobaczenia dokumentu. W organizacji ścieżka potwierdzenia takiego żądania powinna być znana wcześniej, aby pracownik nie musiał ustalać jej dopiero w trakcie podejrzanej interakcji.
Materiał źródłowy: CERT Polska: oszustwo z kodem QR.
Pytania przed logowaniem lub płatnością
Ocena QR jest w praktyce oceną sytuacji, która pojawia się po odczytaniu kodu. Warto zachować krótki zestaw pytań odnoszących się do intencji użytkownika. Pomaga on zarówno osobie skanującej prywatnie, jak i pracownikowi obsługującemu firmową wiadomość. Brak widocznych nieprawidłowości nie jest gwarancją, ale rozbieżność daje dobry powód do przerwania procesu.
- Czy spodziewasz się tego dokumentu, płatności lub prośby o potwierdzenie dostępu?
- Czy odczytany adres należy do usługi, której użycie wynika z komunikatu?
- Czy po przekierowaniu domena i cel nadal zgadzają się z oczekiwaną czynnością?
- Czy strona prosi o hasło lub dane karty mimo że chodziło tylko o obejrzenie informacji?
- Czy aplikacja żąda powiązania urządzenia, uprawnień lub autoryzacji, której samodzielnie nie rozpocząłeś?
- Czy możesz potwierdzić sprawę w znanym systemie bez skanowania otrzymanego kodu?
Jak ograniczać ryzyko na co dzień
Zacznij od podglądu zawartości w zaufanym czytniku, na przykład w aparacie telefonu. Jeżeli potrzebujesz zalogować się do znanej usługi, otwórz ją samodzielnie. W przypadku wątpliwego dokumentu potwierdź u nadawcy, innym znanym kanałem, że rzeczywiście go wysłał. Nie używaj do tego numeru lub adresu podanego wyłącznie w podejrzanym komunikacie.
Dodatkowa analiza adresu może wesprzeć tę decyzję. W aplikacji Anti Phishing skaner QR pozwala przekazać odczytany URL do sprawdzenia. Przedmiotem oceny jest adres i prowadząca z niego ścieżka, a nie atrakcyjność graficznego wzoru. Ochronę warto łączyć z aktualnym systemem, ostrożnością wobec instalacji oraz kontrolą próśb o udostępnienie danych.
Jeśli doszło do przekazania informacji, opisz dokładnie, co zostało wpisane lub zatwierdzone. Samo stwierdzenie „zeskanowałem kod” nie mówi jeszcze, czy otwarto stronę, zalogowano konto czy powiązano urządzenie. Taki opis pozwala wsparciu dobrać reakcję do rzeczywistego zdarzenia. Nie wracaj na podejrzaną stronę tylko po to, by ponownie przejść jej kroki.
Co powinna sprawdzić organizacja
Zalecamy spojrzenie na quishing jako na przepływ między kanałami. Wiadomość trafia do poczty, kod przenosi użytkownika na telefon, a celem jest dostęp do usługi. Zabezpieczenie każdego elementu przez inny zespół nie gwarantuje, że ktoś ocenił całą sekwencję. Wspólny przegląd powinien połączyć administratorów poczty, urządzeń i tożsamości.
Praktyczny zakres takiego przeglądu obejmuje obsługę QR w ochronie poczty, reguły korzystania z prywatnych urządzeń, dostępne metody uwierzytelniania i procedurę zgłaszania. W szkoleniu warto przećwiczyć decyzję o przerwaniu nietypowego procesu. Nie trzeba przy tym budować strachu przed wszystkimi kodami; ważniejsza jest zdolność rozpoznania nieuzasadnionego żądania.
W APT raporty urządzeń w Enterprise Security Center pomagają sprawdzić stan ochrony Androida. Taki podgląd uzupełnia analizę adresów i kontrolę dostępu, lecz nie zastępuje ochrony poczty ani weryfikacji odbiorcy płatności. Celem jest spójny proces: kod ujawnia adres, adres zostaje oceniony, a użytkownik rozumie i świadomie potwierdza dopiero właściwą czynność.
Źródła i dalsza lektura
Opracowanie redakcyjne APT. Poniższe materiały uzupełniają opis mechanizmów; zalecenia dotyczące organizacji przedstawiają nasze podejście do projektowania ochrony.
