Quishing em ascensão: como evitar phishing de código QR

Getty Images/iStockphoto

Os cibercriminosos estão usando ataques de quishing baseados em e-mail para atingir os usuários, de acordo com pesquisadores de ameaças. Pelo menos uma campanha de quishing parece ser em grande escala, de longa duração e dinâmica, com base na cadência de ataque e nas variações nas iscas e domínios que as mensagens utilizam.

Quishing, também conhecido como phishing de código QR, envolve enganar alguém para que escaneie um código QR usando um telefone celular. O código QR leva o usuário a um site fraudulento que pode baixar malware ou solicitar informações confidenciais.

Patrick Schläpfer, analista de malware da HP, disse que sua equipe observou atividades de eliminação por e-mail quase diariamente durante meses. Os pesquisadores têm rastreado uma campanha específica de phishing de código QR que chamou sua atenção pela primeira vez quando notaram uma série de e-mails suspeitos com documentos Word semelhantes anexados.

Após uma inspeção mais detalhada, eles descobriram que cada documento continha texto chinês e um código QR. A mensagem parecia vir do Ministério das Finanças chinês – embora na verdade viesse de atores ameaçadores – e dizia aos destinatários que eles eram elegíveis para receber um novo subsídio financiado pelo governo. Para receber seus pagamentos, orienta o documento, os usuários deveriam usar seus dispositivos móveis para escanear o código QR, que os redirecionaria para um formulário de inscrição onde poderiam enviar suas informações pessoais e financeiras.

Em outro ataque semelhante descoberto pela HP, os usuários receberam um e-mail que parecia vir de um serviço de entrega de encomendas, solicitando o pagamento por meio de um código QR.

O código QR, de acordo com Schläpfer, é uma forma de forçar um usuário a passar de um desktop ou laptop para um dispositivo móvel, que pode ter proteções antiphishing mais fracas. E, embora a campanha que os investigadores da HP descobriram visasse solicitar informações financeiras de indivíduos, os agentes de ameaças também poderiam usar essas campanhas de extinção para distribuir malware móvel e roubar credenciais de login empresariais.

“É muito provável que o phishing QR esteja acontecendo em maior escala, usando uma variedade de métodos”, disse Schläpfer.

O fornecedor de segurança de e-mail Abnormal Security identificou anteriormente uma campanha de rejeição que usava um código QR para passar pelos gateways de segurança de e-mail, que normalmente verificam URLs no texto. O ataque parecia ser uma tentativa de roubar as credenciais de login da Microsoft dos usuários, informou o fornecedor.

Quishing é um tipo de ataque de phishing em que um agente de ameaça usa um código QR para manipular os usuários, normalmente redirecionando-os para um site que baixa malware ou solicita suas informações confidenciais.

Um código QR, ou código de resposta rápida, é um código de barras quadrado que câmeras de dispositivos móveis compatíveis podem ler. Quando um usuário escaneia um código QR, muitas vezes abre uma página da web, embora também possa acionar uma chamada telefônica, uma mensagem de texto ou um pagamento digital.

Evidências anedóticas sugerem que os ataques de extinção aumentaram desde o início da pandemia da COVID-19, quando um número crescente de organizações legítimas começou a usar códigos QR para permitir transações com pouco contato. Alguns restaurantes, por exemplo, vinculam códigos QR a menus on-line, em vez de fornecer cópias impressas aos clientes. As carteiras digitais usam códigos QR para facilitar pagamentos sem contato. À medida que os usuários se acostumaram cada vez mais a interagir com códigos QR na vida diária, as oportunidades de cancelamento aumentaram.

Por exemplo, de acordo com o Better Business Bureau (BBB), um golpe agora comum envolve a inserção de códigos QR fraudulentos em parquímetros para induzir os motoristas a compartilharem credenciais financeiras quando tentam pagar pelo estacionamento. O BBB alertou os consumidores que eles poderiam encontrar golpes de código QR em e-mails, em mensagens de texto, em sinalização, em mala direta e até mesmo pessoalmente por criminosos se passando por trabalhadores de serviços públicos ou funcionários do governo.

Até à data, muitos ataques de extinção tiveram como alvo consumidores individuais, mas as empresas e os seus funcionários também são vulneráveis. Em particular, as campanhas de phishing QR baseadas em e-mail, como as descobertas pelos pesquisadores da HP e da Abnormal Security, podem ter como alvo contas comerciais para roubo de credenciais ou distribuição de malware.