Què és el Quishing (QR Phishing)?
El Quishing és essencialment un atac de phishing que utilitza intel·ligentment codis QR per enganyar els usuaris perquè visitin llocs web maliciosos. Quan un usuari escaneja un codi QR maliciós, el seu navegador va al lloc web indicat pel codi QR.
Com funciona el Quishing?
Els atacs de Quishing funcionen com els atacs de phishing tradicionals.
Sovint, un atac de phishing implicarà un correu electrònic o un missatge de text que contingui un enllaç maliciós. Quan el destinatari fa clic en un enllaç, és dirigit a un lloc de phishing que intenta robar informació confidencial, com ara credencials d’inici de sessió, o instal·lar malware al seu ordinador.
Els atacs de Quishing es diferencien dels atacs de phishing tradicionals en la forma en què es dona format a l’enllaç en un correu electrònic. En comptes d’un enllaç basat en text, el lloc web maliciós es senyala mitjançant un codi QR. Quan un usuari escaneja el codi QR, el seu dispositiu pot extreure l’enllaç indicat i portar l’usuari a aquesta URL.
Tot i que el Quishing utilitza moltes de les mateixes tècniques que un atac de phishing tradicional, l’ús de codis QR fa que sigui molt més difícil de detectar i bloquejar. En comptes d’un enllaç incrustat en un missatge, que es pot detectar escanejant el text del correu electrònic, un atac de Quishing utilitza una imatge que es pot descodificar en una URL.
Identificar codis QR en correus electrònics i extreure les URL és molt més difícil que simplement llegir un enllaç del text del missatge.
Què passa si escaneja un codi QR fraudulent?
Els codis QR estan dissenyats per ser una manera fàcil i eficient d’adreçar els usuaris a un lloc web. En comptes d’escriure una URL, l’usuari pot escanejar el codi QR amb la càmera del seu dispositiu mòbil. Una aplicació compatible amb codis QR pot descodificar la imatge en una URL que després es pot obrir al navegador de l’usuari.
Visitar un lloc web maliciós a través d’un codi QR té els mateixos possibles impactes en un usuari i el seu dispositiu que si ho hagués visitat per altres mitjans, com fer clic en un enllaç en un correu electrònic de phishing. El lloc de phishing podria estar dissenyat per enganyar l’usuari perquè entri les seves credencials d’inici de sessió o instal·lar malware al seu dispositiu.
El desafiament del Quishing
El Quishing planteja un desafiament de seguretat únic per a les organitzacions perquè involucra múltiples dispositius. Si un usuari rep un correu electrònic amb un codi QR en un dispositiu, probablement escanejarà aquest codi amb un altre dispositiu per obrir la pàgina web indicada.
Això crea importants desafiaments de seguretat per a una organització perquè els usuaris que reben correus electrònics enganyosos enviats a la seva adreça de correu electrònic del treball poden escanejar el codi QR maliciós utilitzant un dispositiu personal.
És possible que aquests dispositius no estiguin subjectes a les polítiques de ciberseguretat de l’organització i manquin del mateix nivell de defenses antiphishing, la qual cosa dificulta la prevenció, detecció i seguiment de possibles compromisos.
Les empreses també s’enfronten al risc oposat quan es troben amb atacs de Quishing. Un correu electrònic de suplantació d’identitat enviat a un correu electrònic personal no serà blocat per les defenses antiphishing corporatives.
Si un usuari escaneja aquest correu electrònic amb un dispositiu empresarial, el dispositiu corporatiu podria infectar-se amb malware si les solucions de seguretat de l’empresa no detecten ni bloquegen l’amenaça.
Com detectar un atac de Quishing
Alguns mètodes per detectar aquests atacs inclouen:
- Senyals comuns d’advertència de phishing: els atacs de Quishing poden tenir errors ortogràfics, errors gramaticals, adreces de correu electrònic similars i altres senyals d’alerta comuns dels correus electrònics de phishing.
- Anàlisi de text: els correus electrònics de phishing solen utilitzar la manipulació emocional o intentar crear una sensació d’urgència per augmentar l’èxit dels seus atacs. Aquests esforços es poden identificar a través del processament del llenguatge natural (PNL) o la intel·ligència artificial.
- Detecció de codis QR: Els codis QR són imatges incrustades en un correu electrònic indesxifrable. Escanejar imatges per veure si contenen codis QR pot ajudar a identificar aquests atacs.
Com prevenir un atac exitós de Quishing
Les organitzacions i els individus poden utilitzar diversos mètodes per protegir-se contra els atacs de Quishing, incloent:
- Educar els usuaris: Ensenyar als treballadors sobre la amenaça de Quishing i els riscos d’escanejar codis QR de correus electrònics no fiables.
- Utilitzar un escàner de correu electrònic: Els escàners de correu electrònic poden identificar correus electrònics fraudulents basant-se en el contingut del text, els propis codis QR o altres senyals d’alerta de phishing.
- No escanejar codis QR que no siguin de confiança: No escanejar codis QR que s’originin d’una font desconeguda o no sigui de confiança.
- Verificar les URL després d’escanejar: després d’escanejar un codi QR, verificar l’URL abans de cercar-lo o ingressar informació confidencial.
- Habilitar l’autenticació de múltiples factors (MFA): habilitar MFA per reduir els impactes potencials si les credencials de l’usuari s’ingressen en un lloc de phishing.
