هنوز آن کد QR را اسکن نکنید.
خلاصه عناوین
- Quishing چیست؟
- چگونه کوشینگ می تواند هزاران هزینه برای شما داشته باشد؟
- 3 نمونه های حمله کویشینگ
- چگونه بررسی کنیم که آیا یک کد QR ایمن است یا خیر
تعاریف کلیدی
- Quishing شامل کلاهبردارانی است که از کدهای QR جعلی برای فریب افراد برای ارائه اطلاعات شخصی و پرداخت استفاده می کنند.
- کلاهبرداران مکان‌هایی را هدف قرار می‌دهند که از کدهای QR برای پرداخت‌ها استفاده می‌شود و نمونه‌هایی از وب‌سایت‌ها را برای سرقت اطلاعات قربانی ایجاد می‌کنند.
- برای محافظت از خود در برابر حملات فیشینگ، دستکاری کدهای QR را بررسی کنید، فایل‌ها را پس از اسکن تأیید کنید و در صورت مشکوک از روش‌های پرداخت جایگزین استفاده کنید.
آیا کدهای QR را در مکان های عمومی اسکن می کنید؟ آنها برای باز کردن پیوندها و پرداخت ها بسیار راحت هستند، اما سهم عادلانه خود را از خطرات نیز دارند. در اینجا نحوه اسکن یک کد QR می تواند هزاران هزینه برای شما داشته باشد و چگونه از آن اجتناب کنید.
Quishing چیست؟
Quishing مجموعه ای از “QR” و “فیشینگ” است.
Quishing زمانی است که یک کلاهبردار از طریق یک کد QR یک عمل فیشینگ انجام می دهد که با اسکن کردن آن فعال می شود. ما قبلاً توضیح داده بودیم که کویشینگ چیست و چگونه می توان من را شناسایی کرد، اما این شکل خطرناک فیشینگ در حال افزایش قابل توجهی در قربانیان در سراسر جهان است.
چگونه کوشینگ می تواند هزاران هزینه برای شما داشته باشد؟
Quishing خطرناک است زیرا اکثر آنها اسکن کدهای QR را جدی نمی گیرند. به این ترتیب، ما به احتمال زیاد دستورالعمل‌های کد QR را دنبال می‌کنیم و به هر URL یا سرویسی که کد QR به آن پیوند می‌دهد، می‌رویم. کاهش احساس امنیت به کلاهبرداران اجازه می دهد تا به مناطقی که مردم از کد QR برای پرداخت استفاده می کنند حمله کنند. کلاهبردار وب‌سایتی را که کد QR به آن پیوند می‌دهد مطالعه می‌کند، یک ماکت ایجاد می‌کند و سپس کد QR قانونی را جایگزین می‌کند تا به وب‌سایت شبیه‌سازی‌شده خود اشاره کند.
وقتی قربانی کد QR جعلی را اسکن می‌کند، با این تصور که از یک وب‌سایت قانونی بازدید می‌کند، به وب‌سایت جعلی منتقل می‌شود. وب سایت جعلی اطلاعات شخصی از جمله اطلاعات پرداخت را می خواهد. زمانی که کلاهبرداران آن ها را در دست گرفتند، می توانند با استفاده از حساب بانکی قربانی، خرید خود را انجام دهند.
3 نمونه های حمله کویشینگ
دزدیده شدن هزاران دلار از اسکن یک کد QR بد شبیه داستان علمی تخیلی به نظر می رسد، اما بسیار یک واقعیت است. در اینجا برخی از متداول‌ترین بردارهای حمله استفاده شده توسط کویشرها آورده شده است.
1. پارکومتر و حملات نقطه شارژ
برخی از پارکومترها و نقاط شارژ از کدهای QR به عنوان بخشی از فرآیند پرداخت استفاده می کنند. برای پرداخت هزینه خود، کدی را اسکن می کنید که شما را برای دانلود به وب سایت پرداخت یا برنامه ای هدایت می کند.
کلاهبرداران این کدهای QR را با چسباندن نسخه مخرب آنها بر روی نسخه اصلی ربوده اند. هنگامی که شخصی برای پرداخت هزینه پارکینگ یا برق خود می رود، برنامه را اسکن می کند، جزئیات پرداخت خود را در وب سایت یا برنامه جعلی وارد می کند و ناآگاهانه آن را برای کلاهبرداران ارسال می کند.
ممکن است غیرواقعی به نظر برسد که مردم می توانند هزاران نفر را به خاطر این کلاهبرداری ها از دست بدهند، اما قبلاً اتفاق افتاده است. همانطور که توسط ITV گزارش شده است، یک نفر پس از اسکن یک کد QR بد در ماشین پارکینگ، 13000 پوند (16500 دلار) از دست داد.
2. حملات کد QR ایمیل
گاهی اوقات، کلاهبرداران یک ایمیل با یک کد QR ضمیمه ارسال می کنند. کلاهبردار شما را متقاعد می کند که آن را اسکن کنید. برای مثال، آنها ممکن است بیان کنند که برای دانلود یک برنامه مهم است یا ادعا می کنند که مجری قانون هستند و درخواست پرداخت می کنند. وقتی قربانی کد QR را اسکن می کند، به یک وب سایت یا برنامه جعلی هدایت می شود که اطلاعات کارت اعتباری او را می خواهد.
HP Threat Research گزارش داد که این روش حمله در چین در سال 2022 با ایمیلی که ادعا می‌کرد گیرنده حق دریافت کمک مالی دولتی را دارد، افزایش یافت. در این فرآیند از کاربران اطلاعات کامل کارت اعتباری، از جمله جزئیات موجودی فعلی آنها خواسته شد.
3. تولید کننده کد QR جعلی
در برخی موارد، کلاهبردار یک تولید کننده کد QR جعلی برای فریب دادن افراد راه اندازی می کند. این معمولاً زمانی اتفاق می‌افتد که افراد می‌توانند از کدهای QR برای درخواست پرداخت استفاده کنند، زیرا کلاهبرداران می‌توانند به‌جای ژنراتورهای اصلی وارد حساب‌های آنها شوند.
BitDefender مثالی را گزارش کرد که در آن چندین وب سایت تولید کننده کد QR جعلی برای کیف پول بیت کوین راه اندازی کردند. این وب سایت از کاربر یک شناسه کیف پول درخواست کرد و قول داد یک کد QR ایجاد کند که دریافت کنندگان پرداخت می توانند به راحتی اسکن کنند و زمانی که در واقعیت، کد به کیف پول بیت کوین خود کلاهبردار اشاره می کند، از آن استفاده کنند.
چگونه بررسی کنیم که آیا یک کد QR ایمن است یا خیر
Quishing ترسناک به نظر می رسد، اما می توانید با چند نکته امنیتی آسان، کلاهبرداری ها را قبل از دسترسی به اطلاعات مالی شما متوقف کنید.
بررسی کنید که آیا کد QR دستکاری شده است
اگر یک کد QR را به صورت عمومی اسکن می کنید، مطمئن شوید که کد تغییر نکرده است. به دنبال نشانه هایی باشید که کسی برچسبی را روی کد QR اصلی چسبانده است. اگر این کار را کرد، کد QR را اسکن نکنید.
به طور مشابه، اگر یک کد QR برای دریافت پرداخت‌ها ایجاد می‌کنید، حتماً خودتان کد QR را اسکن کنید و دوباره بررسی کنید که پرداخت‌ها به جایی که فکر می‌کنید انجام می‌شوند، بروند.
پس از اسکن، URL یا وب سایت را دوباره بررسی کنید
پس از اسکن یک کد QR، همیشه URL یا وب سایتی که ظاهر می شود را دوباره بررسی کنید. وب سایت یک کلاهبردار دارای یک URL عجیب و غریب خواهد بود، یا وب سایت «احساس خوبی ندارد». مراحل را طی کنید تا مطمئن شوید یک وب سایت ایمن است یا خیر، و اگر چیزی مشکوک به نظر می رسد، هیچ اطلاعات پرداختی را در وب سایت وارد نکنید.
به دنبال روش های جایگزین برای پرداخت باشید
اگر کد QR مشکوک به نظر می رسد، یا ترجیح می دهید ریسک نکنید، به دنبال راه دیگری برای پرداخت باشید. به عنوان مثال، اگر کد QR ادعا می کند که شما را به یک برنامه هدایت می کند، به جای آن به صورت دستی آن را در فروشگاه برنامه گوشی خود جستجو کنید. اگر گیرنده روش‌های پرداخت جایگزین را مجاز می‌داند، از آنها استفاده کنید یا در مورد آنها با کارمندی بپرسید.
حملات فیشینگ ممکن است برای شما هزینه داشته باشد، اما بهترین دفاع در برابر آنها این است که بدانید چگونه کار می کنند و به چه چیزی توجه کنید. اگر یک کد QR شما را به جایی می برد، اطلاعات پرداخت خود را وارد نکنید.