Czym jest quishing?

Cyberprzestępcy szukają różnych rozwiązań, aby zaatakować użytkowników sieci i pobrać od nich dane. Rok 2021 był rekordowy pod względem liczby przeprowadzonych na świecie cyberataków. Wzrosty dotyczą wielu kategorii incydentów związanych z cyberbezpieczeństwem. Między innymi właśnie quishing.

Quishing a phishing – jaka jest różnica?

Zanim dokładnie wyjaśnimy to pojęcie trzeba zacząć o d tego, że jest to forma phishingu. A co kryje się za pojęciem phishing?

Phishing to jeden z najpopularniejszych typów ataków opartych o wiadomości e-mail lub SMS. Wykorzystuje inżynierię społeczną, czyli technikę polegającą na tym, że przestępcy internetowi próbują Cię oszukać i spowodować, abyś podjął działanie zgodnie z ich zamierzeniami. Cyberprzestępcy, podszywając się m.in. pod firmy kurierskie, urzędy administracji, operatorów telekomunikacyjnych, czy nawet naszych znajomych, starają się wyłudzić nasze dane do logowania np. do kont bankowych lub używanych przez nas kont społecznościowych, czy systemów biznesowych.

Nazwa phishing budzi dźwiękowe skojarzenia z fishingiem – czyli łowieniem ryb. Przestępcy, podobnie jak wędkarze, stosują bowiem odpowiednio przygotowaną „przynętę”. Do tego wykorzystują najczęściej sfałszowane e-maile i SMS-y. Coraz częściej oszuści działają także za pośrednictwem komunikatorów i portali społecznościowych (np. poprzez „metodę na Blika”).

Wiadomości phishingowe są tak przygotowywane przez cyberprzestępców, aby wyglądały na autentyczne, ale w rzeczywistości są fałszywe. Mogą próbować skłonić Cię do ujawnienia poufnych informacji, zawierać link do strony internetowej rozprzestrzeniającej szkodliwe oprogramowanie (często przestępcy używają podobnych do autentycznych nazw witryn) lub mieć zainfekowany załącznik.

Czym jest quishing?

Teraz możemy śmiało wyjaśnić już, czy w zasadzie jest quishing. To atak przygotowany przez cyberprzestępców pod postacią odpowiednie spreparowanych kodów QR, wykorzystywanych w wiadomościach phishingowych wysyłanych za pomocą poczty e-mail. Niczego nieświadomy konsument, otwierając taką wiadomość widzi w miarę wiarygodną treść e-maila wraz z kodem QR np. prowadzącym do płatności czy też odbioru nagrody. Oczywiście jest to tylko podstęp, aby użytkownik sieci za pośrednictwem telefonu zeskanować fałszywy kod QR, a następnie pobrać czy to zainfekowany plik, czy zostać przekierowanym na fałszywą stronę banku, firmy, instytucji.

W ten sposób można stracić dane osobowe, a nawet pieniądze jeśli uwierzymy, że za pomocą kodu QR możemy np. coś taniej kupić lub zalogować się na stronę banku.

Jak przestępcy wykorzystują quishing?

Poza wymienionymi przykładami kierowania na fałszywą stronę cyberprzestępcy mogą tworzyć kody QR, które mogą służyć do szybkiego pobierania aplikacji, przekazywania danych czy uzupełniania formularzy, znalezienia odpowiednie lokalizacji czy pobrania kartki z życzeniami.

Jednocześnie fałszywe kody QR wcale nie muszą być wysyłane przez pocztę e-mail czy sms. Również dobrze przestępcy mogą je umieszczać na stronach internetowych, ale także w postaci naklejek na przystankach, w klubach, w komunikacji miejskiej, w postaci ulotek czy nawet na ubraniach.

Jak chronić się przed quishingiem?

Jedyną skuteczną metodą jest zachowanie czujności i nieskanowanie żadnych kodów QR jeśli nie mamy pewności, że są one bezpieczne. W przypadku przechodzenia na inną stronę po pobraniu kodu trzeba się upewnić czy aby na pewno jest to styl komunikacji i pozyskiwania danych przez firmy, z których korzystamy. Zanim otrzymamy pocztę e-mail z fałszywym kodem QR możemy się chronić za pomocą odpowiednich programów antywirusowych, które wykryją podejrzane przesyłki.

Źródło: własne, gov.pl, ESET.