钓鱼式二维码扫描(Quishing):完整防护指南
钓鱼式二维码扫描(Quishing)是一种快速增长的网络攻击方法,犯罪分子用恶意二维码替换合法的二维码,或创建虚假码来将受害者引导到欺诈网站。根据FBI互联网犯罪投诉中心的数据,2022年至2023年间,与二维码相关的诈骗增加了587%,平均每起事件造成的损失达到1,500美元。这类攻击之所以有效,是因为人类无法读取二维码的内容,无法在扫描前验证目标地址。 这种诈骗通常通过在停车计时器、餐厅餐桌、产品包装或声称来自合法公司的电子邮件附件上放置欺诈二维码来实施。扫描后,这些码会将受害者重定向到精心伪造的网站,这些网站设计用来收集登录凭证、银行信息或支付卡详情。在企业环境中,攻击者通过电子邮件发送二维码,这些代码能绕过传统安全过滤,导致员工进入伪造的Microsoft 365登录页面或薪资系统门户。 钓鱼式二维码扫描特别危险之处在于其能够规避常规安全措施。传统电子邮件安全系统会扫描URL和附件以检测恶意内容,但二维码看起来是无害的图像。此外,许多智能手机会自动打开二维码中的链接,而不会先显示完整的URL,使受害者无法验证目标。美国联邦贸易委员会报告称,2023年企业因二维码诈骗损失超过4,800万美元,消费者和员工都成为了这些复杂攻击的受害者。
常见手法
- • 物理二维码替换:诈骗犯打印带有恶意二维码的贴纸,贴在停车计时器、餐厅支付终端、电动汽车充电站和快递包装标签上的合法码上,将支付款重定向到他们自己的账户。
- • 基于电子邮件的钓鱼式二维码活动:攻击者发送看起来专业的电子邮件,声称来自IT部门、人力资源或金融机构,附带用于紧急密码重置、多因素身份验证设置或发票支付的二维码,这些码链接到凭证窃取网站。
- • 虚假停车违规通知:犯罪分子在挡风玻璃上放置虚假停车罚单,使用二维码声称提供快速支付选项,但实际上在扫描时窃取信用卡信息和个人详情。
- • 加密货币投资诱饵:诈骗犯通过社交媒体和即时通讯应用分发二维码,声称提供对独家加密货币投资机会的访问权限,但实际上在扫描时会窃取受害者的数字钱包。
- • 包裹快递诈骗:欺诈者通过短信或电子邮件发送二维码,声称可以重新安排包裹交付或支付关税,链接到伪造的邮政服务网站,这些网站捕获支付卡信息。
- • 餐厅菜单和支付诈骗:攻击者为餐厅中的数字菜单或桌边服务支付创建虚假二维码,将食客重定向到外观相似的网站,当客户尝试支付账单时窃取信用卡详情。
如何识别
- URL预览不匹配:打开链接前,检查你的手机是否显示与预期目标不匹配的预览URL(例如,停车计时器二维码显示个人网站URL,而不是城市官方域名)。
- 物理篡改迹象:查看贴在原始二维码上的贴纸、打印不对齐、纸张质量不同,或看起来像事后添加而非作为原始材料专业打印的一部分的码。
- 紧急行动要求:对附带威胁性语言的二维码保持警惕,例如'账户将在24小时内被冻结''需要紧急安全更新'或'在2小时内支付以避免处罚',因为合法服务很少使用这种压力策略。
- 通用或非个人化通信:包含二维码的电子邮件或消息没有使用你的真实姓名、涉及模糊的账户问题,或缺乏关于你与声称的发送方的关系的具体详情,这可能是欺诈。
- 意外的身份验证请求:如果你收到声称设置多因素身份验证、验证账户详情或确认身份的二维码,而你没有启动任何此类流程,这是一个重大危险信号。
- 支付目标不一致:当二维码链接到支付页面时,验证收款人姓名、业务详情和支付处理方是否与预期一致——诈骗犯经常使用个人账户或不熟悉的支付平台,而不是建立的商户服务。
如何保护自己
- 安装具有URL预览功能的二维码扫描器:使用在打开链接前显示完整目标URL的二维码读取器应用,并始终验证域名是否与合法组织相匹配(检查细微的拼写错误,如用零'0'代替'o'的'micros0ft.com')。
- 手动输入官方URL:对于银行、密码重置或支付等敏感操作,与其扫描二维码不如直接在浏览器中输入URL或使用保存的书签导航到官方网站。
- 扫描前验证物理二维码:检查停车计时器、支付终端和产品包装是否有篡改迹象——合法二维码应该作为原始材料的一部分被打印,而不是通过贴纸或单独标签添加。
- 在所有账户上启用双因素身份验证:即使诈骗犯通过钓鱼式二维码扫描获得了你的凭证,使用身份验证器应用(而非短信)的适当双因素身份验证也能防止他们在没有次要验证码的情况下访问你的账户。
- 通过官方渠道联系组织:如果你收到声称需要紧急行动的二维码,可独立通过官方来源的电话号码或网站联系该组织,而不是使用可疑消息中提供的信息。
- 使用移动安全软件:安装信誉良好的移动安全应用,能够检测并阻止恶意网站,即使通过二维码访问也能防止,为防止凭证盗窃和恶意软件提供额外保护层。
真实案例
一位小企业主收到一封似乎来自其会计软件提供商的电子邮件,附带用于'强制安全验证'的二维码。扫描后,他们进入一个令人信服的伪造登录页面,输入了凭证。在2小时内,诈骗犯访问了该账户,更改了恢复信息,并将总计8,400美元的欺诈ACH转账提交到外部账户。企业仅在合法支付请求因余额不足而被拒时才发现了这一违规。
一家受欢迎的市中心餐厅的食客扫描餐桌帐篷上的二维码来查看菜单,却不知道诈骗犯在一夜之间替换了合法码。虚假码链接到一个与餐厅实际订购系统看起来完全相同的克隆网站。在一个周末期间,47名顾客输入了信用卡信息来支付餐费,诈骗犯在餐厅发现这一问题前立即使用被盗数据进行欺诈性购买,平均每张卡损失2,300美元。
一起城市停车执法诈骗涉及在挡风玻璃上放置虚假违规通知,使用二维码声称用于'便捷在线支付'。这些通知看起来很官方,带有城市标志和违规代码。扫描码的受害者被重定向到一个看起来专业的支付门户,要求提供信用卡详情和驾驶执照号码。在当局关闭之前,该诈骗方案运营了11天,从大约180名受害者那里收集了超过34,000美元,这些受害者认为他们在支付合法的停车罚款。