QRishing är en form av nätfiskeattack där hackare utnyttjar QR-koder för att stjäla privat information, installera skadlig programvara på en enhet eller dirigera en person till en osäker webbplats.
Så hur fungerar dessa attacker? Hur kan du undvika att falla offer för en QRishing attack?
Vad är QRishing?
QRishing utnyttjar telefonanvändares tendenser att skanna QR-koder av nyfikenhet, tristess eller nödvändighet.
Till exempel kan angriparen lämna flygblad vid en busshållplats eller på bord på restauranger eller kaféer. När en person skannar QR-koden med sin telefon och tror att det är en annons eller meny, visar den bland annat en URL, en bild eller en karta med vägbeskrivningar till en plats.
Härifrån förlitar sig bedragare på social ingenjörskonst att lura offren att dela känslig information. Hackare kan också utnyttja sårbarheter som WebKit-buggar i en webbläsare för att ta över offrets enhet.
Hur fungerar QRishing?
Naturligtvis skulle inte alla skanna en slumpmässig QR-kod utan ett incitament eller en bildtext som förklarar vad de kan förvänta sig att se. Så cyberbrottslingar hittar ofta ett annat sätt att få folk intresserade.
Ändra populära eller betrodda QR-koder
En cyberbrottsling kan ta ett flygblad från till exempel en populär finansiell institution eller statlig myndighet. Därefter ändrar de QR-koden men behåller andra detaljer eller mönster och delar flygbladet online. De kan också publicera dem på offentliga platser där människor kan se och skanna QR-koden. Detta speciella trick rapporterades väl efter Coinbase QR-kod annons vid 2022 Super Bowl gick viralt.
Klistra in falska flygblad med QR-koden
Här kan en cyberbrottsling skapa falska flygblad med en QR-kod skapad för att dirigera personer som skannar dem till en webbplats där angriparen kan stjäla deras data. Även om detta försök misslyckas kan angriparen fortfarande samla in enhets- och platsdata från offrets webbläsare. Ännu värre, en bestämd angripare kan använda webbläsarfingeravtryck för att spåra ett offer online.
Bädda in QR-koden i ett bluffmejl
Denna form av QRishing är vanligtvis en del av konventionella metoder för nätfiske via e-post. Till skillnad från förkortade hyperlänkar visar inte måladressen att hålla muspekaren över en QR-kod, så, för till exempel är det lätt för en bedragare att säga åt ett potentiellt offer att skanna en QR-kod för att få chansen att vinna en present kort.
Hur man undviker QRishing
Att skanna och läsa en QR-kod kräver för det mesta två saker: en kamera och en webbläsare för att följa informationen i QR-koden. Eftersom det är så enkelt betyder det att det är enkelt att undvika att bli offer också. Här är hur.
Blockera kameraåtkomst på din telefon
De flesta har sina telefonkameror redo för att fånga viktiga ögonblick eller göra videosamtal. Detta är förståeligt. Men att ha en alltid aktiverad kamera kan också göra det enkelt för dig att skanna en QR-kod utan att tänka på det.
Överväga avaktivera din iPhone-kamera när den inte används. Ett snabbt sätt att göra det är att svepa ner från meddelandefältet och blockera kameraåtkomst. Det andra sättet är att navigera till Inställningar > Appar > Behörigheter. Du kan sedan inaktivera kameran eller ställa in den så att den begär åtkomstbehörighet varje gång du vill använda appen. Processen är liknande för Android-användare.
Utan tvekan kommer du att känna denna livsstilsförändring, speciellt om du använder din kamera mycket. Ändå är det enstaka besväret med att inaktivera och aktivera din kamera värt den extra säkerheten mot QRishing och tredjepartsappar som kommer åt din kamera.
Håll din programvara uppdaterad
Hackare kan utnyttja sårbarheter i programvaran i dina appar eller telefonoperativsystem utan din vetskap. Till exempel kan hackare utnyttja WebKit-säkerhetssårbarheter i din webbläsare för att hacka din telefon, surfplatta eller till och med smartklocka. Överväg att ställa in dina enheter för att automatiskt uppdatera appar och installera säkerhetsuppdateringar så snart de blir tillgängliga.
Undvik att dela känslig information online
Att skanna en QR-kod kan leda dig till en webbsida eller ett onlineformulär där du blir ombedd att lämna information som din biodata, e-postadress, kontolösenord eller kortuppgifter för en chans att vinna ett fiktivt pris.
Som en tumregel bör du undvika att dela personlig information online. Förutom risken för att ditt konto blir hackat eller pengar stulna, kan cyberbrottslingar också använda uppgifterna du delat till stjäla din identitet.
Tänk efter innan du skannar
Du behöver inte skanna varje QR-kod som presenteras för dig. Var skeptisk och avstå från att skanna något i onödan. I de flesta fall kan du kontrollera ett företags webbplats eller meny genom att först söka efter det online.
QRishing: Mindre vanligt, men håll dig före
QRishing är mindre vanligt än andra typer av nätfiske eftersom en angripare skulle behöva investera lite ansträngning för att distribuera den skadliga QR-koden. Den här formen av nätfiske är dock relativt ny, och inte många känner till den, vilket gör att folk lätt kan falla för det. Cyberkriminella som utför dessa attacker har allt att vinna och inget att förlora.
