QR-Phishing (Quishing)

So funktioniert es

Ein QR-Code erscheint in einer E-Mail, auf einem Plakat, einer Rechnung oder einem Parkautomaten. Da es ein Bild ist, übersehen Sicherheitsfilter die eingebettete URL oft, und das Opfer öffnet sie auf dem Smartphone, außerhalb der Unternehmensschutzmechanismen, wo die Lookalike-Seite ihre Arbeit verrichtet.

Bezug zur Brand-Impersonation

Quishing ist eine schnell wachsende Zustellmethode für Brand-Impersonation-Phishing, besonders gegen Finanzinstitute. Das Ziel ist weiterhin eine Lookalike-Seite, die Monitoring und Takedowns adressieren können.

So hilft nebty

Unser Leitfaden zu QR-Phishing für Finanzinstitute erläutert die Bedrohung, und nebty entfernt die betrügerischen Ziele, auf die diese Codes verweisen.

Warum QR-Codes an der Abwehr vorbeikommen

Ein QR-Code ist nur ein Bild, und genau das ist der Trick. E-Mail-Sicherheitstools, die nach schädlichen Links scannen, lesen die in einem Bild versteckte URL oft nicht, sodass eine Quishing-Nachricht durch Filter rutscht, die denselben Link als Text blockiert hätten. Der Code holt das Opfer zudem auf ein privates Smartphone, außerhalb des Unternehmensbrowsers, des Endpoint-Schutzes und des Proxys, die das Ziel sonst markieren könnten. Die physische Platzierung bietet einen weiteren Ansatz: Ein Aufkleber über einem echten QR-Code auf einem Plakat, Parkautomaten oder Restauranttisch schickt Menschen auf eine Lookalike-Seite, der sie allen Grund hatten zu vertrauen. Die Abwehr ist, einen unerwarteten QR-Code wie jeden unbekannten Link zu behandeln, die URL vor dem Öffnen anzusehen und, als Brand, die Lookalike-Ziele zu entfernen, auf die diese Codes zeigen. Unser QR-Phishing-Leitfaden behandelt die Bedrohung im Detail.

Ein konkretes Beispiel

Kunden von Solara Finance erhalten einen gedruckten Brief auf überzeugendem Briefpapier, der sie bittet, ihren Online-Banking-Zugang „wegen eines Sicherheitsupdates“ neu zu bestätigen. Statt eines Links gibt es einen QR-Code. Er führt auf solara-finance-secure.com, eine geklonte Login-Seite. Weil der Köder auf Papier kam und die URL in einem Bild steckte, hat kein E-Mail-Filter sie je gesehen, und die Opfer tippten ihre Zugangsdaten auf privaten Handys ein, außerhalb jedes Unternehmensschutzes. Die Bank kam der Kampagne zuvor, indem sie die Ziel-Domain entfernen ließ und Kunden noch in derselben Woche warnte.

Erkennen & Abwehren

1. Behandeln Sie jeden unerwarteten QR-Code wie einen unbekannten Link. Sehen Sie sich die URL-Vorschau Ihres Handys an, bevor Sie öffnen, und brechen Sie ab, wenn die Domain nicht die erwartete ist.
2. Loggen Sie sich nie über eine Seite ein, die Sie per Scan erreicht haben. Öffnen Sie stattdessen die App oder tippen Sie die bekannte Adresse ein.
3. Als Brand: Überwachen Sie die Lookalike-Domains, auf die solche Codes zeigen, und lassen Sie sie entfernen. Der QR-Code ist nur der Transportweg; der Schaden entsteht am Ziel.

Häufige Fragen