Фишинг со QR-код (Quishing), лажни налепници за паркирање и злонамерни URL-адреси¶

Скенирањето на код за брз одговор (QR) со камерата на вашиот паметен телефон стана автоматска секојдневна навика за плаќање општински паркинзи, иницијализирање на станици за полнење на електрични возила (EV), прегледување на менијата во рестораните, следење на испорака на пакети и комплетирање на корпоративна автентикација со повеќе фактори (MFA). Актерите на заканите ја искористуваат оваа имплицитна доверба преку Quishing (QR Code Phishing): лепење физички винилски фалсификувани QR налепници директно преку легитимни налепници на киосците за јавни паркиралишта, испраќање лажни разгледници за „пропуштена испорака“ или вградување динамички генерирани QR слики во корпоративните PDF-пораки.

Бидејќи QR-кодот е едноставно оптички кодирана низа од податоци, способна да содржи до 4.296 алфанумерички знаци, вашето око не може да ја прегледа одредишната URL-адреса пред да ја насочи камерата кон матрицата. Уште полошо, скенирањето на QR-код го префрла нападот од вашиот корпоративен лаптоп со силно следење на вашиот личен паметен телефон, каде што лентите за адреси на мобилниот прелистувач ги скратуваат долгите поддомени, а обратните прокси-прокси противник-во средината (AiTM) може да ја фатат вашата кредитна картичка, токенот за обезбедување на Apple Pay / Google Pay или колачето за сесија на Microsoft 365 во секунда. Овој водич ги детализира непосредните чекори за задржување што треба да ги преземете во рок од неколку минути по скенирањето на злонамерен QR-код, во зависност од тоа што се случило на вашиот екран.

Направете го ова сега¶

1. Веднаш одредете што сте направиле ПО скенирањето на QR-кодот. Едноставното отворање на стандардна веб-страница во Apple Safari или Google Chrome на ажуриран iPhone или телефон со Android ретко инсталира постојан малициозен софтвер само по себе. Меѓутоа, ако напишавте број на кредитна картичка, внесовте е-пошта/лозинка на Microsoft 365/Google и 2FA код, ** го скениравте QR-кодот од внатрешноста на најавената апликација** (како Discord, WhatsApp или Microsoft Authenticator) или инсталиравте .apk апликација или .mobileconfig профил, мора да извршите насочено задржување токму сега.
2. **Доколку сте ја внеле вашата кредитна картичка или дебитна картичка на веб-локација за лажен паркинг мерач, патарина или за полнач за ЕВ, веднаш јавете се на бројот на задната страна на картичката за да ја откажете картичката И побарајте од агентот да ги „отповика сите токени на мрежата за дигитален паричник VTS/MDES“. тие извршуваат скрипта за заднина што ја запишува вашата картичка во **паричникот на паметниот телефон на напаѓачот Apple Pay, Google Pay или Samsung Pay користејќи ја еднократната лозинка за SMS што сте ја внеле на страницата за наплата. Ако побарате од вашата банка само замена на пластична картичка без отповикување на Visa Token Service (VTS) или Mastercard Digital Enablement Service (MDES) токени за дигитален паричник, телефонскиот паричник на напаѓачот автоматски ќе го добие вашиот нов број на картичка и ќе продолжи да ја наплаќа вашата сметка.
3. **Ако сте се најавиле на страница за најавување на Microsoft 365, Google Workspace или банка по скенирање на QR-код, користете чист компјутер за да ја смените лозинката И веднаш кликнете „Одјавете се од сите сесии / Отповикајте ги токените на OAuth“. колаче по сесијата за автентикација дури и кога користите апликација за автентикатор. Следете ги нашите МНР фишинг и бајпас на противникот во средината водич и алармирајте го тимот за ИТ безбедност/СОЦ на вашата компанија во рок од пет минути.
4. Доколку сте скенирале QR-код користејќи го вградениот скенер за камера INSIDE WhatsApp, Discord, Telegram, Steam или WeChat, отворете го менито „Поврзани уреди“ на таа апликација и веднаш одјавете се од сите непрепознатливи сесии. Скенирање на кодот „QR Login“ на напаѓачот ** од внатрешноста на автентицираната апликација за напад во станот на пораки. клонирање на сесија** на вашата сметка без да ви треба лозинка или 2FA код.
5. Ако QR-кодот ве поттикна да преземете Android .apk датотека или инсталирај профил за конфигурација на iOS (.mobileconfig), ставете го телефонот во авионски режим и веднаш отстранете го профилот или апликацијата. Проверете Поставки > Општо > Управување со VPN и уред на iOS или Поставки > Безбедност > Повеќе безбедносни поставки > Апликации за администратор на уредот на Android и извршете целосна ревизија на уредот користејќи ја нашата Откривање логер, шпионски софтвер и тајлогери на телефони водич.
6. Доколку сте откриле физичка фалсификувана QR налепница на општински паркинг метар, транзитен киоск или полнач за ЕВ, не се соочувајте со никого што лута во близина. Преместете се на безбедно место, известете го паркинг операторот или бројот за спроведување на градот отпечатен на обоената метална каросерија на киоскот и ако се соочите со физички заплашувања (191да, јавете се на вашиот локален број за итни случаи 1 и Can 2 Европска Унија, 999 во Обединетото Кралство или проверете ја нашата броеви за итни случаи директориум).

Дрво за одлука за тријажа на инциденти за злонамерен QR-код (Quishing).¶

flowchart TD
    Root["Само што скенирав сомнителен или злонамерен QR-код"] --> ActionTaken{"Што се случи откако го скениравте QR-кодот?"}

    ActionTaken -->|"1. Само отворена веб-страница: затворена картичка без пишување или преземање"| SafeClean["Низок ризик: Затворете ја картичката на прелистувачот -> Избришете ги податоците/колачињата на страницата за тој домен -> Проверете ја папката за преземања -> Потврдете дека iOS/Android OS е ажуриран"]

    ActionTaken -->|"2. Внесена кредитна/дебитна картичка на лажен паркинг мерач, полнач за EV или страница за пакети"| CardComp["1. Веднаш повикајте го Одделот за банкарска измама за да ја заклучите и замените картичката<br/>2. КРИТИЧНО: Барајте отповикување на сите токени за дигитални паричник на Apple Pay / Google Pay (VTS/MDES)<br/>3. Проверете дали вашиот автомобил е навистина неплатен на мерачот за да избегнете влечење"]

    ActionTaken -->|"3. Внесена лозинка за работа/пошта + 2FA код (Microsoft 365, Google, Okta)"| CredComp["1. Претпоставете кражба на колачиња со сесија AiTM (Evilginx)<br/>2. На чист компјутер, сменете ја лозинката и кликнете „Одјави се од сите сесии“<br/>3. Избришете ги лажните уреди MFA и правилата за проследување дојдовни сандачиња<br/>4. Веднаш предупредете го корпоративното IT SOC"]

    ActionTaken -->|"4. Скениран QR-код со помош на скенер во апликација (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Отворете ги поставките за апликација -> „Поврзани уреди“ / „Овластени уреди“ -> Веднаш прекинете ги сите непознати сесии на веб/десктоп"]

    ActionTaken -->|"5. Инсталиравте апликација (.apk), профил за конфигурација на iOS или кликнавте на „Дозволи“ на потсетниците"| MalwareCheck["1. Веднаш вклучете го авионскиот режим<br/>2. iOS: Поставки > Општо > Управување со VPN и уред -> Избриши непознат профил<br/>3. Андроид: деинсталирајте лажни APK и отповикајте ги дозволите за пристапност/администратор"]

Разбирање на 5 различни вектори на технички напад зад QR-кодовите¶

QR кодот (стандард ISO/IEC 18004) не се отвора само https:// веб-страници. Во зависност од шемата за URI кодирана во црно-белите модули, скенирањето на код може да предизвика пет сосема различни дејства на вашиот паметен телефон:

Сценарио А: скениравте лажна QR налепница на паркинг метар, полнач за EV или известување за патарина и ги внесовте деталите за плаќање¶

Физичкото преклопување на QR се зголеми во градовите во Северна Америка, Европа, Обединетото Кралство и Австралија. Бидејќи жртвите вообичаено стојат на зафатен тротоар во брзање, тие ретко забележуваат дека е залепена сјајна винилна налепница над насликаното метално броило.

Чекор-по-чекор финансиски и ограничување на возилата¶

1. Заклучете ја компромитирана картичка и исчистете ги токените за обезбедување дигитални паричник (VTS / MDES):
2. Отворете ја вашата банкарска мобилна апликација веднаш и префрлете ја Заклучи / замрзне картичка на ВКЛУЧЕНО.
3. Јавете се на бројот за измама на задната страна од вашата картичка и побарајте Дигитален паричник / Биро за измама за токенизација.
4. Зошто не успее стандардната замена на картичката: ако внесовте 6-цифрена СМС-шифра или код на е-пошта на лажната страница за паркирање откако го впишавте бројот на вашата картичка, ненамерно сте го овластиле напаѓачот да ја поврзе вашата картичка со нивната сметка на Apple Pay, Google Pay, Garmin Pay или Fitbit Pay. Побарајте од претставникот на банката:
   1. Прикажи ги сите Активни дигитални паричник / токени на уред поврзани со бројот на вашата примарна сметка (PAN).
   2. Избришете/прекинете ги сите непризнаени Apple Pay, Google Pay и трговски токени.
   3. Откажете се од Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) за ова повторно издавање, така што новиот број на картичката не се препраќа автоматски до повторливи измамници.
5. Платете ја вашата сесија за паркирање легитимно во моментов за вашето возило да не се издава со билети, да не се подига или да се влече:
6. Запомнете: бидејќи налепницата QR му припаѓаше на криминалец, а не на градската управа за паркирање, вашата регистарска табличка моментално е паркирана неплатена.
7. Никогаш не скенирајте ниту една налепница на машината. Наместо тоа, одете до мерачот и плаќајте со физичка паричка/бесконтактно допрете директно на хардверскиот терминал или одете во официјалната продавница за апликации на Apple / Google Play Store, преземете ја проверената општинска апликација (како што се ParkMobile, PayByPhone, RingGo, EasyPark, или -тој 6 цифрен број), и напишете ја 4-цифрената ознака Zo-tay на металниот столб.
8. Фотографирајте ја фалсификуваната налепница пред да ја пријавите:
9. Направете јасна фотографија од паркометарот или полначот за EV, на кои се прикажани и фалсификуваната QR налепница (побарајте подигнати рабови на лепило, неусогласени големини на фонтови или налепница што покрива дел од официјалното лого) и серискиот број/бројот на столбот.
10. Јавете се на општинската управа за паркирање или на мрежата за полнење ЕВ (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) телефонскиот број за услуги на клиентите отпечатен на киоскот за да можат екипите за одржување да ги избришат налепниците на преклопот по целата улица блок.

Сценарио Б: скениравте QR-код во работна е-пошта или PDF и го внесовте вашето најавување на Microsoft 365, Google или Okta¶

Во корпоративната сајбер безбедност, кражбата на QR-код е механизмот за испорака број 1 за киднапирање на сесијата противник во средината (AiTM). Бидејќи повеќето вработени читаат работни е-пораки на нивниот десктоп монитор и го земаат својот личен паметен телефон за да го скенираат QR-кодот на екранот, најавувањето се случува преку мобилната 5G конекција на вработениот, целосно заобиколувајќи го агентот за откривање и одговор на крајна точка на корпоративниот лаптоп, корпоративниот заштитен ѕид и екстензијата за фишинг на прелистувачот.

Непосреден 15-минутен протокол за задржување на сметката¶

1. ** НЕ претпоставувајте дека вашата апликација Authenticator ве заштитила **:
2. Модерните quishing страници користат Evilginx, Modlishka или Muraena обратни прокси. Кога ќе ја напишете вашата корпоративна е-пошта, лозинка и 6-цифрен код на Authenticator (или одобрувате совпаѓање со Authenticator Push / број) на лажната мобилна страница, серверот на напаѓачот ги пренесува вашите ингеренции на login.microsoftonline.com во реално време и го доловува резултатот ESTSAUTH / ESTSAUTHPERSISTENT колаче за сесија.
3. На чист компјутер, ротирајте ја вашата лозинка И отповикајте ги сите активни токени за сесија:
4. Microsoft 365 / Entra ID: Одете на https://mysignins.microsoft.com/security-info. Прво, кликнете Одјавете се насекаде (за да го поништите украденото колаче од сесијата). Второ, сменете ја лозинката. Трето, внимателно погледнете го списокот Методи за најавување на таа точна страница, напаѓачите користат автоматизирани скрипти кои регистрираат сопствена непријателска Апликација за автентикатор или клуч FIDO2 на вашата сметка во рок од 8 секунди по кражбата на вашето колаче. Избришете го секој уред Authenticator што не го препознавате.
5. Google Workspace / Gmail: Одете на https://myaccount.google.com/device-activity, кликнете на непрепознатливата сесија на мобилен/Линукс -> Одјавете се, сменете ја лозинката и потврдете ги уредите Потврда во 2 чекора.
6. Проверете го вашето сандаче за е-пошта за тивкото „правило / препраќање“ постојано:
7. Напаѓачите кои киднапираат корпоративно поштенско сандаче преку QR-код веднаш создаваат скриено Правило за влезно сандаче во Outlook Web (Settings > Mail > Rules и Forwarding) што ја насочува секоја дојдовна е-пошта што содржи зборови како "Invoice", "Wire", "Payment", "ACH", или "DocuSign" во папката RSS Subscriptions или Archive додека ја означувате како прочитана. Ревизија и бришење на сите непознати правила користејќи ги нашите хакирана е-мејл сметка, правила за препраќање и обновување водич.
8. Веднаш известете го вашиот корпоративен IT Help Desk или безбедносен оперативен центар (SOC):
9. Никогаш не кријте случајно QR скенирање на работа од срам. Повикувањето на ИТ во рок од 5 минути му овозможува на администраторот да кликне „Отповикајте сесии“ и „Потребно е повторно регистрирање MFA“ во Entra ID / Okta пред напаѓачот да започне Измама со жици за компромис за деловна е-пошта (BEC). напад врз вашите клиенти.

Сценарио В: Скениравте QR-код користејќи скенер во апликација (WhatsApp, Discord, Telegram, Steam)¶

Ако некој пријател, сервер за игри „Бот за верификација“ или лажна страница за подароци ви кажаа ** „Отворете го Discord / WhatsApp / Steam -> Отворете QR скенер -> Скенирајте го овој код за да побарате награда или да ја потврдите вашата возраст“**, не сте посетиле веб-локација, туку само сте овластиле Најава на далечинска работна површина / веб-клиент (QRLJacking):

• WhatsApp: веднаш отворете WhatsApp на вашиот телефон -> допрете Поставки (или трите точки ⋮ на Android) -> допрете Поврзани уреди -> допрете го секое наведено Google Chrome (Windows/Linux/Mac) или непозната сесија -> допрете Одјави се.
• Discord: веднаш отворете Discord -> допрете Поставки -> Уреди -> Одјавете се од сите познати уреди и променете ја лозинката за Discord (промената на вашата лозинка за Discord автоматски го поништува украденото Authorization токен во прелистувачот на напаѓачот).
• Телеграма: Отворете Telegram -> Поставки > Уреди -> Прекинете ги сите други сесии.
• Steam: Отворете ја апликацијата Steam Mobile -> допрете ја иконата Shield (Steam Guard) -> иконата Gear -> Овластени уреди -> Отстранете го пристапот од кој било непрепознат компјутер.

Сценарио Д: Го скениравте само QR-кодот и ја отворивте веб-страницата (не напишав ништо)¶

Ако сте ја насочиле камерата на вашиот iPhone или Android кон сомнителен QR-код, го допревте жолтиот банерот на URL-то, видовте вчитана веб-страница во Safari или Chrome и веднаш ја затворивте без да внесете лозинки, кредитни картички или да кликнете на „Инсталирај“:

1. Земете длабок здив: експлоатацијата на прелистувачот со нула клик од налепница за паркирање на улица е исклучително ретка. Комерцијалните експлоатации на мобилни прелистувачи со нула клик чинат милиони долари и се резервирани од разузнавачките агенции на националните држави за насочена шпионажа, а не за масовни измами со паркинг метри.
2. Затворете го јазичето на прелистувачот и исчистете го складиштето на страницата:
3. iOS (Safari): Затворете ја картичката, потоа отворете Поставки > Апликации > Сафари > Напредно > Податоци за веб-страница, побарајте го сомнителното име на доменот и повлечете налево за да Избришете ги неговите колачиња и кешот.
4. Андроид (Хром): допрете ја иконата катанец / местење лево од лентата за адреси -> Колачиња и податоци за локацијата -> Избриши (или одете во Поставки > Приватност и безбедност > Избриши податоци од прелистување -> Последен час).
5. Проверете дали вашиот прелистувач тивко не овозможил спам за притисни известувања или не преземал датотека:
6. Во Android Chrome, одете во Поставки > Поставки за локација > Известувања и потврдете дека на ниту една чудна веб-локација не му е одобрена дозвола да ви испраќа лажни скокачки прозорци за известување „Откриен вирус“.
7. Отворете ја папката Датотеки/Преземања на вашиот телефон и избришете која било .apk, .pdf, .ics (календарски спам), или .mobileconfig датотека што се презема автоматски кога се вчитува страницата.
8. Потврдете дека не е активирано GSM Call Forwarding (ако QR-кодот го отвори вашиот телефонски бирач):
9. Отворете ја тастатурата на телефонот и бирајте *#21# (го проверува статусот на безусловно препраќање повик). Ако е наведен кој било број, бирајте ##002# и притиснете Call за да ги избришете сите правила за препраќање повици GSM на вашата операторска линија.

Сценарио Е: фалсификувани QR-кодови за хардверски паричник за криптовалути и лажни налепници „AirDrop/Claim“¶

Друг брзорастечки Quishing вектор ги таргетира сопствениците на криптовалути преку физички испраќачи и манипулирани пакувања:

1. **Применети Леџер / Трезор / Влошки за пакување Coldcard **:
2. Измамниците купуваат хардверски паричници, вметнуваат ламинирана фалсификувана картичка со инструкции што содржи QR-код на кој пишува „Скенирај за да се изврши задолжителна проверка на интегритетот на фирмверот или иницијализирај го семето за враќање од 24 зборови“, смалуваат-завиткаат кутијата и вратете ја на малопродажните пазари на трети лица.
3. Златно правило: Легитимните хардверски паричници никогаш не бараат од вас да ја напишете вашата фраза за враќање BIP-39 од 12 или 24 зборови на веб-страница на паметен телефон или скенирајте QR-код што ги бара вашите основни зборови. Ако сте ја внеле фразата за селекција по скенирање на QR-код, вашиот паричник веќе е надгледуван од автоматизиран бот за чистење; изврши нашата Одвод на паричник за криптовалути и компромис за семе фраза протокол веднаш.
4. Connect Wallet (wc:) Злонамерни QR кодови на DApp Drainer:
5. Скенирање а wc: QR кодот од внатрешноста на MetaMask, Phantom, Rabby или Trust Wallet го поврзува вашиот Web3 паричник со децентрализирана апликација од трета страна (DApp). Ако страницата веднаш се појави барање за потпис (Permit2, setApprovalForAll, или increaseAllowance), кликнете Отфрли и исклучете ја сесијата WalletConnect под Поставки > Поврзани локации / Сесии за поврзување на Wallet.

Форензика: Како безбедно да декодирате и прегледате сомнителна слика QR-код без да ја скенирате со вашиот телефон¶

Ако сте примиле сомнителен PDF или е-пошта што содржи QR-код и сакате да видите каде води без да го допирате со паметниот телефон, користете ги овие безбедни методи на командната линија или песокот на десктоп компјутер:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

Пријавување физички и дигитални напади на Quishing до официјалните власти¶

Пријавувањето на злонамерен QR-код ја отстранува и физичката налепница од страна на градските екипи и основниот домен за фишинг, ограден од глобалните блок листи на прелистувачи (Безбедно прелистување на Google и Microsoft SmartScreen):

1. Пријавете го злонамерниот URL до Google Safe Browsing & Cloudflare Radar: испратете ја декодираната URL адреса на safebrowsing.google.com/safebrowsing/report_phish/ и radar.cloudflare.com/scan. Откако ќе се означи, секој прелистувач iPhone Safari и Android Chrome ширум светот ќе прикаже црвено предупредување на цел екран „Предупредува измамен сајт“ во рок од 15 до 30 минути секогаш кога следниот пешак ќе ја скенира таа налепница со паркиралиште.
2. ** Поднесете официјален извештај за сајбер криминал **:
3. Соединети Американски Држави: Поднесете извештај до Центарот за жалби за интернет криминал на ФБИ (ic3.gov) и Федералната трговска комисија (reportfraud.ftc.gov) и известете ја вашата локална градска управа за паркирање.
4. Обединето Кралство: препраќајте е-пошта за quishing до report@phishing.gov.uk (Национален центар за сајбер безбедност) и пријавете финансиска загуба до Акција измама (actionfraud.police.uk).
5. Европска унија, Канада и Австралија: Извештај до Канадскиот центар за борба против измами (antifraudcentre-centreantifraude.ca), Австралиски Scamwatch (scamwatch.gov.au) или вашиот национален компјутерски тим за одговор при итни случаи (CERT).

Како безбедно да проверите кој било QR-код ПРЕД да ја посетите URL-то (листа за проверка за превенција)¶

Никогаш не треба да погодувате каде води QR-кодот. Следете ги овие пет правила секогаш кога ќе наидете на QR-код јавно или по пошта:

• Поминете со ноктот преку физичките QR-кодови на паркомерите, полначите за електрични возила и масите во рестораните: легитимните QR-шифри за паркинг киоск и полначи за EV се или завиткани директно на металната предна плоча или запечатени под проѕирниот поликарбонат заштитен лист. Ако вашиот нокт го фати подигнатиот раб на хартиена или винилна налепница залепена на врвот на знакот, никогаш не скенирај.
• Прочитајте го целосниот преглед на URL-то во вашата домашна апликација за камера и игнорирајте ги скратувачите на URL-адресата: и вградената апликација за iOS камера и камерата на Android прикажуваат мал банер за таблети што го прикажува името на доменот пред да го отворите прелистувачот. Ако општинскиот паркометар или банкарското известување прикажува скратена или генеричка URL-адреса (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.in, или page.link), не допирајте го, владините агенции и големите банки никогаш не користат скратувачи на врски од трети страни на киосците за плаќање.
• Исклучете го „Отвори ги врските автоматски“ во поставките за камерата на телефонот: проверете дали апликацијата за камера бара од вас рачно да го читате и допрете банерот за преглед на URL-адресата наместо да го стартувате прелистувачот веднаш штом QR-кодот ќе влезе во рамката.
• Никогаш не скенирајте QR-код што пристигнува во несакано физичко писмо или разгледница („USPS / Royal Mail / Amazon Mystery Package“): измамниците испраќаат физички пакети што содржат евтин, ненарачан предмет (како пластичен прстен или полнач за телефон, „Измама за четкање“) придружени со картичка со читање на QR-кодот * за да видите кој ви го испраќа подарокот. QR картичка во ѓубре.
• Преземете ги апликациите за паркирање и полнење EV директно од App Store / Play Store: наместо да скенирате QR-код на улица, отворете ја официјалната апликација ParkMobile, PayByPhone, RingGo или ChargePoint и напишете го Zone Number отпечатен на знакот.

Најчесто поставувани прашања¶