Популярность такой схемы среди киберпреступников обусловлена повсеместным использованием QR-кодов в повседневной жизни, которое началось еще в пандемию COVID-19. Новое развитие QR-коды получили после ухода с российского рынка зарубежных платежных систем, рассказал руководитель продуктового направления ИТ-компании Innostage Евгений Федоров.
Определенную роль сыграло и повсеместное размещение QR-кодов для быстрой идентификации в шеринговых сервисах, например, при аренде самокатов, и ростом популярности способа оплаты через систему быстрых платежей (СБП), считает стратегический директор по IT, продуктам и сервисам компании PRO32 Руслан Сулейманов.
"Появился даже отдельный термин "квишинг" для такого рода атак - производная от слов QR-код и фишинг", - добавил он.
С подобными проблемами сталкиваются жители и других стран. К примеру, в прошлом году в США мошенники разослали сотрудникам крупной энергетической компании письма, которые были похожи на сообщения от сервиса Microsoft 365. В них было предложение сменить пароль от аккаунтов на более безопасный. Сделать это нужно было в течение 2-3 дней - так мошенники добавляли срочности своей просьбе. К письмам прилагался QR-код, ведущий на портал, который имитировал официальный сайт Microsoft. После того как жертвы вводили новые пароли, злоумышленники крали их профили.
При этом, как выяснили специалисты компании Cofense, занимающейся вопросами сетевой безопасности, подобные атаки выявить сложно, поскольку защитное программное обеспечение (ПО), в том числе антивирусы, не могут сканировать QR-коды в формате PDF или PNG. Кроме того, злоумышленники шифруют ссылку при помощи алгоритма base64, что еще больше запутывает пользователей.
"Хакеры могут использовать QR-коды для перенаправления пользователей на вредоносные сайты или для загрузки вредоносного ПО", - объяснил Федоров.
Так, например, злоумышленник создает QR-код, после сканирования которого на устройстве пользователя начинается автоматическая загрузка вредоносного приложения или открывается веб-страница, которая устанавливает вредоносный код.
"Потенциальные риски с точки зрения кибербезопасности для пользователя заключаются в том, что изначально зашитая в QR-код ссылка не видна и не каждый обращает внимание на ссылку при переходе. Этим могут пользоваться злоумышленники. При этом, используя поддельные QR-коды, они могут охватить потенциальных жертв как онлайн, так и офлайн", - подчеркнула старший контент-аналитик "Лаборатории Касперского" Ольга Свистунова.
Зачастую основным вектором атаки является не получение доступа к чужому устройству, а кража информации. Как правило, при переходе на фишинговую версию известного сайта пользователю будет предложено ввести важную информацию: к примеру, учетные данные или данные карты. Кроме того, объектами атак часто становятся руководители и сотрудники, обладающие повышенными привилегиями в организации. В результате они могут дать злоумышленникам доступ к системе и даже получить троянскую программу, сказал Сулейманов.
"Проблема еще заключается в том, что QR-код, например, в письме, - это графическое изображение, и очень часто он пропускается антивирусными фильтрами как безопасное содержимое, что усложняет защиту от такого рода атак", - отметил эксперт.
Для того чтобы защититься от подобных атак, Федоров в первую очередь порекомендовал всегда проверять источник QR-кода и не сканировать тот, который был найден в открытом доступе или получен от незнакомых людей. В этом помогут приложения для сканирования QR-кодов со встроенной функцией безопасности - они предупреждают пользователя, если код, например, ведет на подозрительный сайт.
Кроме того, эксперт призвал не давать QR-кодам автоматически открывать ссылки в браузере. Вместо этого следует установить настройки устройства так, чтобы приложение показывало URL-адрес перед тем, как открыть его.
При этом мошенники не всегда зашивают в QR-код прямую ссылку на фишинговый ресурс - они могут использовать сервисы коротких ссылок для усложнения процесса идентификации конечного ресурса, куда ведет ссылка. Соответственно, если при сканировании QR-кода появляется странный короткий адрес, лучше отказаться от перехода по нему, посоветовал Сулейманов.
"Чтобы не попасться на уловки злоумышленников, мы рекомендуем критически относиться к любой информации и перепроверять ее", - подчеркнула Свистунова.