QRishing er en form for phishing-angreb, hvor hackere udnytter QR-koder til at stjæle private oplysninger, installere skadelig software på en enhed eller dirigere en person til et usikkert websted.
Så hvordan fungerer disse angreb? Hvordan kan du undgå at blive offer for et QRishing-angreb?
Hvad er QRishing?
QRishing udnytter telefonbrugeres tendenser til at scanne QR-koder af nysgerrighed, kedsomhed eller nødvendighed.
For eksempel kan angriberen efterlade flyers ved et busstoppested eller på borde på restauranter eller caféer. Når en person scanner QR-koden med sin telefon, og tror, det er en annonce eller menu, viser den blandt andet en URL, et billede eller et kort med anvisninger til en placering.
Fra nu af stoler svindlere på social ingeniørkunst at narre ofre til at dele følsomme oplysninger. Hackere kan også udnytte sårbarheder som WebKit-fejl i en browser til at overtage ofrets enhed.
Hvordan virker QRishing?
Selvfølgelig ville ikke alle scanne en tilfældig QR-kode uden et incitament eller en billedtekst, der forklarer, hvad de kan forvente at se. Så cyberkriminelle finder ofte en anden måde at få folk til at interessere sig for.
Skift populære eller betroede QR-koder
En cyberkriminel kan tage en flyer fra f.eks. en populær finansiel institution eller et offentligt organ. Dernæst ændrer de QR-koden, men beholder andre detaljer eller designs og deler flyeren online. De kan også sende dem på offentlige steder, hvor folk kan se og scanne QR-koden. Dette særlige trick blev godt rapporteret efter Coinbase QR-kode annonce ved 2022 Super Bowl gik viralt.
Indsæt falske flyers med QR-koden
Her kan en cyberkriminel lave falske flyers med en QR-kode, der er oprettet for at dirigere folk, der scanner dem, til en hjemmeside, hvor angriberen kan stjæle deres data. Selvom dette forsøg mislykkes, kan angriberen stadig indsamle enheds- og placeringsdata fra offerets browser. Endnu værre, en beslutsom angriber kunne bruge browser-fingeraftryk til at spore et offer online.
Integrer QR-koden i en svindel-e-mail
Denne form for QRishing er typisk en del af konventionelle e-mail-phishing-metoder. I modsætning til forkortede hyperlinks viser det ikke destinations-URL'en at holde markøren over en QR-kode, så f.eks for eksempel er det nemt for en svindler at bede et potentielt offer om at scanne en QR-kode for at få en chance for at vinde en gavekort.
Sådan undgår du QRishing
At scanne og læse en QR-kode kræver for det meste to ting: Et kamera og en browser til at følge informationerne i QR-koden. Da det er så enkelt, betyder det, at det også er nemt at undgå at blive offer. Sådan gør du.
Bloker kameraadgang på din telefon
De fleste mennesker har deres telefonkameraer klar til at fange vigtige øjeblikke eller foretage videoopkald. Det er forståeligt. Men at have et altid aktiveret kamera kan også gøre det nemt for dig at scanne en QR-kode uden at tænke over det.
Overveje deaktivering af dit iPhone-kamera når den ikke er i brug. En hurtig måde at gøre det på er at stryge ned fra meddelelsesområdet og blokere kameraadgang. Den anden måde er at navigere til Indstillinger > Apps > Tilladelser. Du kan derefter deaktivere kameraet eller indstille det til at bede om adgangstilladelser, hver gang du vil bruge appen. Processen er den samme for Android-brugere.
Uden tvivl vil du mærke denne livsstilsændring, især hvis du bruger dit kamera meget. Alligevel er den lejlighedsvise besvær ved at deaktivere og aktivere dit kamera værd at den ekstra sikkerhed mod QRishing og tredjepartsapps, der får adgang til dit kamera.
Hold din software opdateret
Hackere kan udnytte softwaresårbarheder i dine apps eller telefonoperativsystem uden din viden. For eksempel kan hackere udnytte WebKit-sikkerhedssårbarheder i din browser til at hacke din telefon, tablet eller endda smartwatch. Overvej at indstille dine enheder til automatisk at opdatere apps og installere sikkerhedsopdateringer så snart de bliver tilgængelige.
Undgå at dele følsomme oplysninger online
Scanning af en QR-kode kan lede dig til en webside eller onlineformular, hvor du bliver bedt om at give oplysninger f.eks. dine biodata, e-mailadresse, kontoadgangskoder eller kortoplysninger for en chance for at vinde en fiktiv præmie.
Som en tommelfingerregel skal du undgå at dele personlige data online. Udover risikoen for at få din konto hacket eller penge stjålet, kan cyberkriminelle også bruge de oplysninger, du har delt til stjæle din identitet.
Tænk før du scanner
Du behøver ikke at scanne hver eneste QR-kode, der bliver præsenteret for dig. Forbliv skeptisk, og undlad at scanne noget unødigt. I de fleste tilfælde kan du tjekke et firmas hjemmeside eller menu ved først at søge efter det online.
QRishing: Mindre almindeligt, men bliv på forkant
QRishing er mindre almindeligt end andre typer phishing, fordi en angriber skal investere en indsats i at distribuere den ondsindede QR-kode. Denne form for phishing er dog relativt ny, og ikke mange kender til den, hvilket betyder, at folk nemt kan falde for den. Cyberkriminelle, der udfører disse angreb, har alt at vinde og intet at tabe.
