Sigurado akong nangyayari ito sa iyo araw-araw: pumupunta ka sa isang restawran, gusto mong makita ang menu, at nang walang pag-aalinlangan, kinukuha mo ang iyong telepono para i-scan ang QR code sa mesa. Naging pangkaraniwan na ito kaya bahagi na ito ng ating gawain, mula sa pagbabayad ng paradahan hanggang sa pag-download ng app. Gayunpaman, ang parehong bulag na tiwala sa teknolohiya ang siyang kahinaan na ginagamit ng mga cybercriminal para maitago ang kanilang mga scam.
Dito pumapasok ang salitang quishing, isang terminong pinagsasama ang "QR" at "phishing." Sa esensya, ito ay isang mapanlinlang na pamamaraan kung saan ginagamit ng mga malisyosong aktor ang maliliit na itim at puting parisukat na ito upang i-redirect tayo sa mga mapanlinlang na website o linlangin tayo na mag-download ng malware. Dahil ang nilalaman ng isang QR code ay hindi nakikita ng mata ng tao hangga't hindi ito napoproseso, ito ay nagiging perpektong tool upang malampasan ang mga security filter na karaniwang makakakita ng kahina-hinalang link sa isang email.
Paano nga ba eksaktong gumagana ang quishing?
Ang proseso ay halos kapareho ng tradisyonal na phishing, ngunit may taktikal na pagbabago. Sa halip na magpadala sa iyo ng text link na maaari mong suriin bago i-click, ipapakita sa iyo ng attacker ang isang imahe. Kapag ini-scan ng device ang code, kinukuha nito ang URL at binubuksan ang browser. Ang tunay na panganib ay nasa katotohanan na ang mga pag-atakeng ito ay kadalasang gumagamit ng social engineering , pinaglalaruan ang ating mga emosyon, lumilikha ng maling pakiramdam ng pagkaapurahan, o nangangako ng hindi kapani-paniwalang mga gantimpala upang hikayatin tayong kumilos nang padalos-dalos.
Mayroong ilang mga paraan ng pag-atake. Isa sa mga pinakakaraniwan ay ang nakapatong na QR code , kung saan ang mga scammer ay naglalagay ng sticker na may sarili nilang code sa ibabaw ng orihinal sa mga pampublikong lugar, tulad ng mga parking meter o mga karatula ng bus. Mayroon ding mga digital na pag-atake, kung saan ang code ay dumarating na nakabalatkayo sa isang email, SMS, o kahit isang PDF, na nililinlang kang isipin na kailangan mong i-update ang iyong mga detalye sa bangko o magproseso ng isang hindi umiiral na multa sa trapiko.
Ang mga nakatagong panganib sa likod ng pag-scan
Depende sa intensyon ng umaatake, maaaring mag-iba ang resulta ng pag-scan ng isang mapanlinlang na QR code. Sa maraming pagkakataon, mapupunta ka sa isang phishing website na perpektong ginagaya ang pahina ng iyong bangko o isang opisyal na entidad upang nakawin ang iyong username at password. Sa ibang mga pagkakataon, maaaring mag-trigger ang code ng awtomatikong pag-download ng isang Trojan horse o spyware app na kumokontrol sa iyong telepono.
Mayroong mas teknikal at mapanganib na variant na tinatawag na QRLJacking . Dito, kino-clone ng hacker ang isang lehitimong login code (karaniwan sa mga banking app o modernong serbisyo) at inire-redirect ito sa sarili nilang server. Kung i-scan ng biktima ang code na iyon at walang naka-enable na two-step verification, direktang maa-access ng attacker ang account nang hindi kailangan ng password, dahil ang scan ang nagsisilbing access key.
Bakit ba tayo madaling maapektuhan ng scam na ito?
Ang pangunahing dahilan ay ang pag-quish ay sumisira sa security chain ng korporasyon. Isipin mong nakatanggap ka ng malisyosong email sa iyong computer sa trabaho; malamang na haharangan ito ng antivirus ng kumpanya. Ngunit kung ang email ay naglalaman ng QR code, i-scan mo ito gamit ang iyong personal na mobile phone , na karaniwang walang parehong proteksyon o sumusunod sa mga patakaran sa seguridad ng opisina. Lumilikha ito ng isang blind spot kung saan hindi natutukoy ang banta.
Bukod pa rito, ang mga mobile device ay kadalasang mahinang kawing. Bagama't mas maingat tayo sa mga PC, mas may tendensiya tayong magtiwala sa mga smartphone at balewalain ang mga pulang palatandaan tulad ng mga pagkakamali sa pagbaybay o kakaibang mga URL. Ang kombinasyon ng pagkalat ng mga QR code sa lahat ng dako at mas kaunting pagbabantay sa mga mobile device ay lumilikha ng mainam na senaryo para sa mga cybercriminal.
Mga pinakakaraniwang uri ng panloloko sa totoong mundo
- Pandaraya sa paradahan at mga multa: Naglalagay sila ng mga sticker sa mga metro ng paradahan o nag-iiwan ng mga paunawa sa windshield na may QR code para magbayad nang may diskwento, kaya nawawalan ng laman ang account ng biktima.
- Mga panlilinlang sa industriya ng hospitality: Mga pekeng QR code sa mga mesa ng restaurant na magdadala sa iyo sa mga website kung saan hinihingi nila ang mga detalye ng iyong card para makasali sa mga pekeng raffle.
- Pagsusugal gamit ang cryptocurrency: Mga code na nangangako ng mabilisang pamumuhunan o mga premyong Bitcoin, ngunit ang totoo ay ninanakaw ang mga susi ng iyong digital wallet.
- Panggagaya sa mensahe: Mga email ng DHL o Correos na humihiling sa iyong i-scan ang isang code para malutas ang isang problema sa paghahatid ng isang pakete.
Mga estratehiya upang maiwasan ang pagkahulog sa bitag
Ang unang ginintuang tuntunin ay huwag basta-basta i-scan ang anumang makita. Kung makakita ka ng QR code na parang sticker na nakadikit sa ibabaw ng isa pa, o may nakataas o hindi maayos na hiwa sa mga gilid, maghinala kaagad. Sa mga restawran, kung mayroon kang anumang pagdududa, pinakamahusay na magtanong sa waiter o humingi ng menu na gawa sa papel upang maiwasan ang mga hindi kanais-nais na sorpresa.
Sa teknikal na antas, mahalagang i-configure ang iyong telepono upang ipakita ang destination URL bago ito buksan. Maglaan ng ilang sandali upang basahin ito: kung ang domain ay "parking-madrid-pagos.com" sa halip na "madrid.es", ito ay isang scam. Gayundin, iwasan ang pag-download ng mga app na nangangailangan ng QR code; palaging pumunta nang direkta sa opisyal na App Store o Google Play.
Mga advanced na depensa para sa mga negosyo at gumagamit
Para sa mga namamahala ng mga organisasyon, hindi sapat ang simpleng pagbibigay ng presentasyon. Kinakailangang ipatupad ang mga image analysis engine sa mga email filter na maaaring mag-decode ng mga QR code nang real time at ihambing ang mga ito sa mga database ng mga banta. Ang paggamit ng sandboxing, na kinabibilangan ng pagpapatakbo ng link sa isang nakahiwalay na kapaligiran bago ito makarating sa gumagamit, ay isa sa mga pinakamabisang hakbang na magagamit sa kasalukuyan.
Para sa karaniwang gumagamit, ang pinakamakapangyarihang tool ay ang two-factor authentication (MFA) . Kahit na nakawin ng isang scammer ang iyong mga kredensyal sa pamamagitan ng isang quishing site, hindi nila maa-access ang iyong account nang walang pansamantalang code na ipapadala sa iyong mobile phone. Mahalaga rin ang pagpapanatiling updated ng iyong operating system, dahil maraming pag-atake ang gumagamit ng mga kahinaan sa seguridad ng browser na naayos na.
Ano ang gagawin kung natikman mo na ang pain
Kung napansin mong naka-scan ka ng malisyosong code, kumilos kaagad. Kung binuksan mo lang ang website, isara ang tab, i-clear ang iyong browsing history at cookies, at magsagawa ng antivirus scan. Ngunit kung naglagay ka ng personal na impormasyon, makipag-ugnayan kaagad sa iyong bangko upang harangan ang iyong mga card at palitan ang lahat ng iyong password mula sa isang malinis na device.
Kung nag-install ka ng kahina-hinalang app, i-uninstall ito at tingnan kung anong mga pahintulot ang ibinigay mo rito. Sa mga matinding sitwasyon, kung saan sa tingin mo ay nakompromiso na ng malware ang buong sistema, ang pinakaligtas na hakbang ay ibalik ang iyong telepono sa mga setting ng pabrika upang maalis ang anumang bakas ng spyware at iulat ang insidente sa Pambansang Pulisya.
Ang pagpapanatili ng pag-aalinlangan tungkol sa mga QR code na bigla na lang lumilitaw at palaging pag-verify ng domain ng website bago maglagay ng anumang impormasyon ang pinakamahusay na depensa. Ang pagsasama ng pag-iingat ng tao sa mga tool tulad ng two-step verification at isang updated na operating system ay lubhang nakakabawas sa posibilidad na ang isang simpleng pag-scan ay maging isang bangungot sa pananalapi o privacy.