増加するクイッシング: QR コードフィッシングを防ぐ方法

ゲッティイメージズ/iStockphoto

脅威研究者によると、サイバー犯罪者はユーザーをターゲットに電子メールベースのキッシュ攻撃を使用しています。 攻撃の頻度と、メッセージが使用するおとりやドメインのバリエーションに基づくと、少なくとも 1 つのクッシング キャンペーンは大規模で長期にわたる動的なものであると考えられます。

QR コード フィッシングとも呼ばれるクイッシングでは、誰かをだまして携帯電話を使用して QR コードをスキャンさせます。 その後、QR コードによってユーザーは詐欺的な Web サイトに誘導され、マルウェアがダウンロードされたり、機密情報が要求されたりする可能性があります。

HPのマルウェアアナリスト、パトリック・シュレプファー氏は、同氏のチームが数か月間、ほぼ毎日、電子メールベースの消去活動を観察していると述べた。 研究者らは、特定の QR コード フィッシング キャンペーンを追跡してきました。このキャンペーンは、同様の Word 文書が添付された一連の不審な電子メールに気づいたときに初めて気づきました。

さらに詳しく調べたところ、各文書には中国語のテキストと QR コードが含まれていることがわかりました。 このメッセージは中国財政省から送信されたように見え、実際には脅威アクターから送信されたものであり、受信者に政府が資金提供する新たな補助金を受け取る資格があると伝えました。 文書によると、支払いを受けるには、ユーザーはモバイルデバイスを使用してQRコードをスキャンする必要があり、これにより個人情報と財務情報を送信できる申請フォームにリダイレクトされます。

HP が発見した別の同様の攻撃では、ユーザーは宅配便サービスから送信されたように見える電子メールを受信し、QR コードによる支払いを要求しました。

Schläpfer 氏によると、QR コードは、ユーザーをデスクトップやラップトップから、フィッシング対策の保護が弱いモバイル デバイスに強制的に移行させる方法です。 また、HP の研究者らが発見したキャンペーンは個人の金融情報を要求することを目的としていましたが、脅威アクターはモバイル マルウェアを配布し、企業のログイン資格情報を盗むためにそのようなキッシュ キャンペーンを利用する可能性もあります。

シュレプファー氏は、「QRフィッシングはさまざまな手法を使って、より広範囲で行われている可能性が非常に高い」と述べた。

電子メール セキュリティ ベンダーの Abnormal Security は、以前、QR コードを使用して電子メール セキュリティ ゲートウェイを通過するクイッシング キャンペーンを特定しました。このゲートウェイでは通常、URL のテキストをスキャンします。 この攻撃は、ユーザーの Microsoft ログイン資格情報を盗む試みだったようだとベンダーは報告しました。

Quishing はフィッシング攻撃の一種で、攻撃者が QR コードを使用してユーザーを操作し、通常はマルウェアをダウンロードしたり機密情報を要求したりする Web サイトにユーザーをリダイレクトします。

QR コード (クイック レスポンス コード) は、互換性のあるモバイル デバイスのカメラで読み取ることができる正方形のバーコードです。 ユーザーが QR コードをスキャンすると、多くの場合 Web ページが開きますが、電話、テキスト メッセージ、デジタル支払いがトリガーされる場合もあります。

事例証拠は、ますます多くの合法的な組織が低接触トランザクションを可能にするために QR コードを使用し始めた、新型コロナウイルス感染症のパンデミックの初期以来、クイッシング攻撃が増加していることを示唆しています。 たとえば、一部のレストランでは、ダイナーにハードコピーを提供するのではなく、QR コードをオンライン メニューにリンクしています。 デジタルウォレットは QR コードを使用して非接触型支払いを容易にします。 ユーザーが日常生活で QR コードを操作することにますます慣れてくると、キッシュの機会が増加しました。

たとえば、Better Business Bureau (BBB) によると、現在よく見られる詐欺には、パーキング メーターに不正な QR コードを貼り付け、ドライバーが駐車料金を支払おうとする際に金融認証情報を共有させるというものがあります。 BBBは消費者に対し、電子メール、テキストメッセージ、看板、ダイレクトメール、さらには公共職員や政府職員を装った犯罪者による直接のQRコード詐欺に遭遇する可能性があると警告している。

これまでのキッシング攻撃の多くは個人消費者をターゲットにしていましたが、企業とその従業員も脆弱です。 特に、HP や Abnormal Security の研究者が発見したような電子メールベースの QR フィッシング キャンペーンは、企業アカウントを標的にして認証情報の盗難やマルウェアの配布を行う可能性があります。