So funktioniert es
Ein QR-Code erscheint in einer E-Mail, auf einem Plakat, einer Rechnung oder einem Parkautomaten. Da es ein Bild ist, übersehen Sicherheitsfilter die eingebettete URL oft, und das Opfer öffnet sie auf dem Smartphone, außerhalb der Unternehmensschutzmechanismen, wo die Lookalike-Seite ihre Arbeit verrichtet.
Bezug zur Brand-Impersonation
Quishing ist eine schnell wachsende Zustellmethode für Brand-Impersonation-Phishing, besonders gegen Finanzinstitute. Das Ziel ist weiterhin eine Lookalike-Seite, die Monitoring und Takedowns adressieren können.
So hilft nebty
Unser Leitfaden zu QR-Phishing für Finanzinstitute erläutert die Bedrohung, und nebty entfernt die betrügerischen Ziele, auf die diese Codes verweisen.
Warum QR-Codes an der Abwehr vorbeikommen
Ein QR-Code ist nur ein Bild, und genau das ist der Trick. E-Mail-Sicherheitstools, die nach schädlichen Links scannen, lesen die in einem Bild versteckte URL oft nicht, sodass eine Quishing-Nachricht durch Filter rutscht, die denselben Link als Text blockiert hätten. Der Code holt das Opfer zudem auf ein privates Smartphone, außerhalb des Unternehmensbrowsers, des Endpoint-Schutzes und des Proxys, die das Ziel sonst markieren könnten. Die physische Platzierung bietet einen weiteren Ansatz: Ein Aufkleber über einem echten QR-Code auf einem Plakat, Parkautomaten oder Restauranttisch schickt Menschen auf eine Lookalike-Seite, der sie allen Grund hatten zu vertrauen. Die Abwehr ist, einen unerwarteten QR-Code wie jeden unbekannten Link zu behandeln, die URL vor dem Öffnen anzusehen und, als Brand, die Lookalike-Ziele zu entfernen, auf die diese Codes zeigen. Unser QR-Phishing-Leitfaden behandelt die Bedrohung im Detail.
Ein konkretes Beispiel
Kunden von Solara Finance erhalten einen gedruckten Brief auf überzeugendem Briefpapier, der sie bittet, ihren Online-Banking-Zugang „wegen eines Sicherheitsupdates“ neu zu bestätigen. Statt eines Links gibt es einen QR-Code. Er führt auf solara-finance-secure.com, eine geklonte Login-Seite. Weil der Köder auf Papier kam und die URL in einem Bild steckte, hat kein E-Mail-Filter sie je gesehen, und die Opfer tippten ihre Zugangsdaten auf privaten Handys ein, außerhalb jedes Unternehmensschutzes. Die Bank kam der Kampagne zuvor, indem sie die Ziel-Domain entfernen ließ und Kunden noch in derselben Woche warnte.
Erkennen & Abwehren
-
Behandeln Sie jeden unerwarteten QR-Code wie einen unbekannten Link. Sehen Sie sich die URL-Vorschau Ihres Handys an, bevor Sie öffnen, und brechen Sie ab, wenn die Domain nicht die erwartete ist.
-
Loggen Sie sich nie über eine Seite ein, die Sie per Scan erreicht haben. Öffnen Sie stattdessen die App oder tippen Sie die bekannte Adresse ein.
-
Als Brand: Überwachen Sie die Lookalike-Domains, auf die solche Codes zeigen, und lassen Sie sie entfernen. Der QR-Code ist nur der Transportweg; der Schaden entsteht am Ziel.
Häufige Fragen
Kann ein QR-Code selbst schädlich sein?
Der Code ist nur eine codierte URL; das Scannen allein infiziert nichts. Die Gefahr ist das Ziel: eine Phishing-Seite, ein Malware-Download oder eine umgeleitete Zahlung. Deshalb ist der Blick auf die URL-Vorschau vor dem Öffnen die nützlichste einzelne Gewohnheit.
Was tue ich, wenn ich schon gescannt und Daten eingegeben habe?
Ändern Sie das betroffene Passwort sofort, von einem vertrauenswürdigen Gerät aus, und aktivieren Sie Multi-Faktor-Authentifizierung. Bei Zahlungsdaten kontaktieren Sie Ihre Bank. Melden Sie die Seite anschließend, damit sie auf Blacklists landet, bevor das nächste Opfer scannt.
