Фишинг QR-кодов (квишинг), поддельные наклейки на парковочные счетчики и вредоносные URL-адреса¶

Сканирование кода быстрого ответа (QR) с помощью камеры смартфона стало автоматической ежедневной привычкой для оплаты муниципальных паркоматов, инициализации зарядных станций электромобилей (EV), просмотра меню ресторана, отслеживания доставки посылок и прохождения корпоративной многофакторной аутентификации (MFA). Злоумышленники используют это неявное доверие с помощью Quishing (фишинга QR-кодов): наклеивания физических виниловых поддельных QR-наклеек непосредственно на законные наклейки на общественных парковочных киосках, рассылки поддельных открыток с сообщением о пропущенной доставке или встраивания динамически генерируемых QR-изображений в корпоративные PDF-файлы для обхода защищенных шлюзов корпоративной электронной почты.

Поскольку QR-код , это просто оптически закодированная строка данных, способная содержать до 4296 буквенно-цифровых символов, ваш глаз не может проверить целевой URL-адрес, прежде чем направить камеру на матрицу. Хуже того, сканирование QR-кода переносит атаку с вашего тщательно отслеживаемого корпоративного ноутбука на ваш личный смартфон, где адресные строки мобильного браузера усекают длинные поддомены, а обратные прокси-серверы «Противник посередине» (AiTM) могут за считанные секунды перехватить вашу кредитную карту, токен обеспечения Apple Pay / Google Pay или файл cookie сеанса Microsoft 365. В этом руководстве подробно описаны немедленные меры по сдерживанию, которые следует предпринять в течение нескольких минут после сканирования вредоносного QR-кода, в зависимости от того, что произошло на вашем экране.

Сделай это сейчас¶

1. Определите, что вы сделали, ПОСЛЕ сканирования QR-кода. Простое открытие стандартной веб-страницы в Apple Safari или Google Chrome на актуальном телефоне iPhone или Android само по себе редко приводит к установке постоянного вредоносного ПО. Однако, если вы ввели номер кредитной карты, ввели адрес электронной почты/пароль Microsoft 365/Google и код 2FA, отсканировали QR-код из приложения, для которого выполнен вход (например, Discord, WhatsApp или Microsoft Authenticator) или установили .apk приложение или .mobileconfig профиль, вы должны выполнить целенаправленное сдерживание прямо сейчас.
2. ** Если вы ввели свою кредитную или дебетовую карту на веб-сайт поддельного парковочного счетчика, платной дороги или зарядного устройства для электромобилей, немедленно позвоните по номеру, указанному на обратной стороне карты, чтобы аннулировать карту, И попросите агента «отозвать все сетевые токены цифрового кошелька VTS/MDES». ** На поддельных страницах оплаты за парковку и посылку с вас не просто берут 3 доллара за парковку; они запускают фоновый сценарий, который регистрирует вашу карту в кошельке смартфона Apple Pay, Google Pay или Samsung Pay злоумышленника с помощью одноразового пароля по SMS, который вы ввели на странице оформления заказа. Если вы попросите свой банк только заменить пластиковую карту, не отзывая токены цифрового кошелька Visa Token Service (VTS) или Mastercard Digital Enablement Service (MDES), телефонный кошелек злоумышленника автоматически получит номер вашей новой карты и продолжит снимать средства с вашего счета.
3. Если вы вошли на страницу входа в Microsoft 365, Google Workspace или банк после сканирования QR-кода, используйте чистый компьютер, чтобы изменить свой пароль, И немедленно нажмите «Выйти из всех сеансов / Отозвать токены OAuth». Корпоративные электронные письма направляются через обратные прокси-серверы Evilginx / Modlishka Adversary-in-the-Middle (AiTM), которые крадут файлы cookie после сеанса аутентификации, даже когда вы используете аутентификатор. приложение. Следите за нашими Фишинг MFA и обход «Противника посередине» направляйте и оповещайте команду ИТ-безопасности / SOC вашей компании в течение пяти минут.
4. Если вы отсканировали QR-код с помощью встроенного сканера камеры ВНУТРИ WhatsApp, Discord, Telegram, Steam или WeChat, откройте меню «Связанные устройства» этого приложения и немедленно завершите все нераспознанные сеансы. Сканирование QR-кода «Вход» злоумышленника из аутентифицированного приложения для обмена сообщениями или игрового приложения дает злоумышленнику мгновенное клонирование сеанса WebSocket вашей учетной записи без необходимости использования вашего пароля или кода 2FA.
5. Если QR-код предложил вам загрузить Android .apk файл или установите профиль конфигурации iOS (.mobileconfig), переведите телефон в режим полета и немедленно удалите профиль или приложение. Проверьте Настройки > Общие > VPN и управление устройствами на iOS или Настройки > Безопасность > Дополнительные настройки безопасности > Приложения администратора устройства на Android и запустите полный аудит устройства с помощью нашего Обнаружение сталкерского, шпионского ПО и кейлоггеров на телефонах гид.
6. Если вы обнаружили поддельную QR-наклейку на муниципальном паркомате, транзитном киоске или зарядном устройстве для электромобилей, не сталкивайтесь с кем-либо, слоняющимся поблизости. Переместитесь в безопасное место, сообщите об этом оператору парковки или номеру городской полиции, указанному на окрашенном металлическом корпусе киоска, а если вы столкнетесь с каким-либо физическим запугиванием, позвоните по местному номеру службы экстренной помощи (911 в США и Канаде, 112 в Европейском Союзе, 999 в Великобритании или проверьте наш номера экстренных служб каталог).

Дерево принятия решений по сортировке инцидентов, связанных с вредоносным QR-кодом (Quishing)¶

flowchart TD
    Root["Только что отсканировал подозрительный или вредоносный QR-код"] --> ActionTaken{"Что произошло после того, как вы отсканировали QR-код?"}

    ActionTaken -->|"1. Только открытая веб-страница: закрытая вкладка без ввода или загрузки."| SafeClean["Низкий риск: закройте вкладку браузера -> очистите данные сайта/файлы cookie для этого домена -> проверьте папку «Загрузки» -> убедитесь, что ОС iOS/Android обновлена."]

    ActionTaken -->|"2. Введена кредитная/дебетовая карта на поддельном парковочном счетчике, зарядном устройстве для электромобилей или на странице посылки."| CardComp["1. Немедленно позвоните в отдел по борьбе с мошенничеством банка, чтобы заблокировать и заменить карту<br/>2. ВАЖНО: потребовать отзыва всех токенов цифрового кошелька Apple Pay/Google Pay (VTS/MDES)<br/>3. Проверьте, действительно ли ваш автомобиль не оплачен на счетчике, чтобы его не отбуксировали."]

    ActionTaken -->|"3. Введен рабочий пароль/пароль электронной почты + код 2FA (Microsoft 365, Google, Okta)"| CredComp["1. Предполагаем кражу файлов cookie сеанса AiTM (Evilginx)<br/>2. На чистом компьютере смените пароль и нажмите «Выйти из всех сеансов»<br/>3. Удалите несанкционированные устройства MFA и правила переадресации входящих сообщений<br/>4. Немедленно оповестить корпоративный ИТ-специалист"]

    ActionTaken -->|"4. Отсканированный QR-код с помощью сканера в приложении (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Откройте «Настройки приложения» -> «Связанные устройства» / «Авторизованные устройства» -> «Немедленно завершить все неизвестные сеансы в Интернете или на рабочем столе»."]

    ActionTaken -->|"5. Установлено приложение (.apk), профиль конфигурации iOS или нажата кнопка «Разрешить» в подсказках."| MalwareCheck["1. Немедленно включите режим полета<br/>2. iOS: Настройки > Общие > VPN и управление устройствами > Удалить неизвестный профиль<br/>3. Android: удалить мошеннический APK и отозвать права доступа/администратора"]

Понимание пяти различных векторов технических атак, лежащих в основе QR-кодов¶

QR-код (стандарт ISO/IEC 18004) не только открывает https:// веб-сайты. В зависимости от схемы URI, закодированной внутри черно-белых модулей, сканирование кода может вызвать пять совершенно разных действий на вашем смартфоне:

Сценарий А. Вы отсканировали поддельную QR-наклейку на парковочном счетчике, зарядном устройстве для электромобилей или уведомлении о взимании платы за проезд и ввели данные платежа.¶

Физическое вмешательство в наложение QR-кода резко возросло в городах Северной Америки, Европы, Великобритании и Австралии. Поскольку жертвы обычно в спешке стоят на оживленном тротуаре, они редко замечают, что на окрашенную металлическую поверхность счетчика наклеена глянцевая виниловая наклейка.

Пошаговое финансовое и транспортное сдерживание¶

1. Заблокируйте скомпрометированную карту и удалите токены обеспечения цифрового кошелька (VTS / MDES):
2. Немедленно откройте мобильное банковское приложение и установите для параметра Блокировать/заморозить карту значение ВКЛ.
3. Позвоните по номеру мошенничества, указанному на обратной стороне вашей карты, и попросите Службу по борьбе с мошенничеством с цифровыми кошельками/токенизацией.
4. Почему стандартная замена карты не удалась. Если вы ввели 6-значный код по SMS или код электронной почты на поддельной странице парковки после ввода номера карты, вы непреднамеренно разрешили злоумышленнику связать вашу карту с его учетной записью Apple Pay, Google Pay, Garmin Pay или Fitbit Pay. Попросите представителя банка:
   1. Просмотрите все активные токены цифрового кошелька/устройства, связанные с вашим основным номером учетной записи (PAN).
   2. Удалите или заблокируйте все нераспознанные токены Apple Pay, Google Pay и продавцов.
   3. Откажитесь от Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) для этого повторного выпуска, чтобы новый номер карты не пересылался автоматически повторяющимся мошенникам.
5. Оплатите парковку на законных основаниях прямо сейчас, чтобы на ваш автомобиль не выписали штраф, не загрузили его и не отбуксировали:
6. Помните: поскольку QR-стикер принадлежал преступнику, а не городской службе парковки, ваш номерной знак в настоящее время припаркован без оплаты.
7. Никогда не сканируйте наклейки на машине. Вместо этого подойдите к счетчику и заплатите монетой или бесконтактным касанием непосредственно на аппаратном терминале или зайдите в официальный Apple App Store/Google Play Store, загрузите проверенное муниципальное приложение (например, ParkMobile, PayByPhone, RingGo, EasyPark или PayStay) и введите 4-6-значный номер зоны, нарисованный на металлическом столбе.
8. Сфотографируйте поддельную наклейку, прежде чем сообщить о ней:
9. Сделайте четкую фотографию парковочного счетчика или зарядного устройства для электромобиля, на которой будет видна поддельная QR-наклейка (обратите внимание на выступающие клейкие края, несоответствующие размеры шрифта или наклейку, закрывающую часть официального логотипа) и серийный номер счетчика/номер полюса.
10. Позвоните в муниципальную службу парковки или в сеть зарядки электромобилей (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) по номеру телефона службы поддержки клиентов, указанному на киоске, чтобы бригады технического обслуживания могли соскрести накладные наклейки вдоль всего уличного квартала.

Сценарий Б. Вы отсканировали QR-код в рабочем электронном письме или PDF-файле и ввели свой логин Microsoft 365, Google или Okta.¶

В корпоративной кибербезопасности фишинг QR-кода является механизмом доставки №1 для перехвата сеанса «Противник посередине» (AiTM). Поскольку большинство сотрудников читают рабочие электронные письма на настольном мониторе и берут свой личный смартфон для сканирования QR-кода на экране, вход в систему происходит через сотовое соединение 5G сотрудника, полностью минуя агент обнаружения и реагирования на корпоративные ноутбуки (EDR), корпоративный брандмауэр и фишинговое расширение браузера.

Протокол немедленного сдерживания аккаунта в течение 15 минут.¶

1. НЕ думайте, что ваше приложение Authenticator защитит вас:
2. Современные страницы квиша используют обратные прокси Evilginx, Modlishka или Muraena. Когда вы вводите свой корпоративный адрес электронной почты, пароль и 6-значный код аутентификатора (или подтверждаете совпадение Push/номера аутентификатора) на поддельной мобильной странице, сервер злоумышленника передает ваши учетные данные на login.microsoftonline.com в режиме реального времени и фиксирует полученныеESTSAUTH / ESTSAUTHPERSISTENT сеансовый файл cookie.
3. На чистом компьютере поменяйте пароль И отзовите все токены активного сеанса:
4. Microsoft 365 / Entra ID: перейдите по ссылке https://mysignins.microsoft.com/security-info. Сначала нажмите Выйти везде (чтобы сделать украденный файл cookie сеанса недействительным). Во-вторых, смените пароль. В-третьих, внимательно просмотрите список методов входа на этой конкретной странице. Злоумышленники используют автоматические сценарии, которые регистрируют собственное мошенническое приложение для проверки подлинности или ключ FIDO2 в вашей учетной записи в течение 8 секунд после кражи вашего файла cookie. Удалите любое устройство аутентификации, которое вы не узнаете.
5. Google Workspace/Gmail: перейдите по адресу .https://myaccount.google.com/device-activity, щелкните неопознанный сеанс мобильного устройства или Linux -> Выйти, измените свой пароль и подтвердите устройства с двухэтапной аутентификацией.
6. Проверьте свой почтовый ящик на наличие молчаливого сохранения «Правила/Переадресации»:
7. Злоумышленники, захватившие корпоративный почтовый ящик с помощью QR-кода, немедленно создают скрытое Правило для папки «Входящие» в Outlook Web (Settings > Mail > Rules и Forwarding), который маршрутизирует каждое входящее электронное письмо, содержащее такие слова, как "Invoice", "Wire", "Payment", "ACH", или "DocuSign" в папку Подписки на RSS или Архив, отметив ее как прочитанную. Проведите аудит и удалите все неизвестные правила с помощью нашего учетная запись электронной почты взломана, правила переадресации и восстановление гид.
8. Немедленно сообщите об этом в корпоративную службу ИТ-поддержки или в Центр управления безопасностью:
9. Никогда не скрывайте случайное QR-сканирование на работе из-за смущения. Вызов ИТ-специалиста в течение 5 минут позволяет администратору нажать "Отменить сеансы" и "Требовать перерегистрации MFA" в Entra ID/Okta, прежде чем злоумышленник сможет запустить Мошенничество с использованием деловой электронной почты (BEC) нападение на ваших клиентов.

Сценарий C: вы отсканировали QR-код с помощью сканера в приложении (WhatsApp, Discord, Telegram, Steam).¶

Если друг, игровой сервер «Бот для проверки» или фальшивая страница с раздачей подарков посоветовали вам ** «Открыть Discord / WhatsApp / Steam -> Открыть QR-сканер -> Отсканировать этот код, чтобы получить вознаграждение или подтвердить свой возраст» , вы не посещали веб-сайт, вы просто авторизовали ** Вход в систему удаленного рабочего стола / веб-клиента (QRLJacking):

• WhatsApp: сразу откройте WhatsApp на своем телефоне -> нажмите Настройки (или три точки ⋮ на Android) -> коснитесь Связанные устройства -> коснитесь каждого из перечисленных Google Chrome (Windows/Linux/Mac) или неизвестный сеанс -> нажмите Выйти.
• Discord: немедленно откройте Discord -> нажмите Настройки -> Устройства -> Выйти из всех известных устройств и измените свой пароль Discord (изменение пароля Discord автоматически аннулирует украденные Authorization токен в браузере злоумышленника).
• Telegram: откройте Telegram -> Настройки > Устройства -> Завершить все остальные сеансы.
• Steam: откройте мобильное приложение Steam -> коснитесь значка щита (Steam Guard) -> значка шестеренки -> Авторизованные устройства -> Удалить доступ с любого неизвестного компьютера.

Сценарий D: вы только отсканировали QR-код и открыли веб-страницу (ничего не вводили)¶

Если вы навели камеру iPhone или Android на подозрительный QR-код, коснулись желтого баннера URL-адреса, увидели отрывочную загрузку веб-страницы в Safari или Chrome и немедленно закрыли ее, не вводя никаких паролей, кредитных карт и не нажимая «Установить»:

1. Сделайте глубокий вдох: эксплойт для браузера с нулевым щелчком мыши по наклейке на уличной парковке встречается чрезвычайно редко. Коммерческие эксплойты для мобильных браузеров с нулевым щелчком мыши стоят миллионы долларов и используются национальными спецслужбами для целевого шпионажа, а не для массового мошенничества с парковочными счетчиками.
2. Закройте вкладку браузера и очистите хранилище сайта:
3. iOS (Safari): закройте вкладку, затем откройте Настройки > Приложения > Safari > Дополнительно > Данные веб-сайта, найдите подозрительное доменное имя и проведите пальцем влево, чтобы Удалить файлы cookie и кеш.
4. Android (Chrome): коснитесь значка замка/настройки слева от адресной строки -> Файлы cookie и данные сайта -> Удалить (или перейдите в Настройки > Конфиденциальность и безопасность > Удалить данные просмотра -> Последний час).
5. Убедитесь, что ваш браузер не включил автоматически спам-уведомления и не загрузил файл:
6. В Android Chrome перейдите в Настройки > Настройки сайта > Уведомления и убедитесь, что ни одному незнакомому веб-сайту не предоставлено разрешение на отправку вам поддельных всплывающих окон с push-уведомлениями «Обнаружен вирус».
7. Откройте папку Файлы/Загрузки на своем телефоне и удалите все .apk, .pdf, .ics (календарный спам) или .mobileconfig файл, который загружается автоматически при загрузке страницы.
8. Убедитесь, что переадресация вызовов GSM не активирована (если QR-код открыл ваш телефонный номеронабиратель):
9. Откройте клавиатуру телефона и наберите *#21# (проверяет статус безусловной переадресации). Если какой-либо номер указан, наберите ##002# и нажмите «Вызов», чтобы стереть все правила переадресации вызовов GSM на линии вашего оператора связи.

Сценарий E: Поддельные QR-коды аппаратного кошелька для криптовалюты и поддельные наклейки «AirDrop/Claim»¶

Еще один быстро растущий вектор Квишинга нацелен на владельцев криптовалют посредством физических почтовых программ и поддельной упаковки:

1. Подделанные упаковочные вкладыши Ledger/Trezor/Coldcard:
2. Мошенники покупают аппаратные кошельки, вставляют ламинированную поддельную карту с инструкциями, содержащую QR-код с надписью * «Сканируйте для запуска обязательной проверки целостности прошивки или инициализируйте начальное слово для восстановления из 24 слов» *, упаковывайте коробку в термоусадочную пленку и возвращайте ее на сторонние розничные торговые площадки.
3. Золотое правило: законные аппаратные кошельки никогда не просят вас ввести фразу восстановления BIP-39 из 12 или 24 слов на веб-страницу смартфона или отсканировать QR-код, который запрашивает начальные слова. Если вы ввели свою исходную фразу после сканирования QR-кода, ваш кошелек уже контролируется автоматическим бот-чистителем; выполнить наше Утечка криптовалютного кошелька и компрометация исходной фразы протокол немедленно.
4. WalletConnect (wc:) Вредоносные QR-коды DApp Drainer:
5. Сканирование wc: QR-код из MetaMask, Phantom, Rabby или Trust Wallet подключает ваш кошелек Web3 к стороннему децентрализованному приложению (DApp). Если на сайте сразу выскакивает запрос на подпись (Permit2, setApprovalForAll, или increaseAllowance), нажмите «Отклонить» и отключите сеанс WalletConnect в разделе Настройки > Подключенные сайты/Сеансы WalletConnect.

Криминалистика: как безопасно декодировать и проверить подозрительное изображение QR-кода, не сканируя его телефоном¶

Если вы получили подозрительный PDF-файл или электронное письмо, содержащее QR-код, и хотите увидеть, куда он ведет, не касаясь его смартфоном, воспользуйтесь этими безопасными методами командной строки или изолированной программной среды на настольном компьютере:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

Сообщения официальным органам о физических и цифровых атаках Quishing.¶

Сообщение о вредоносном QR-коде приводит к удалению физической наклейки городскими службами и к тому, что основной фишинговый домен попадает в глобальные черные списки браузеров (Google Safe Browsing и Microsoft SmartScreen):

1. Сообщите о вредоносном URL-адресе в Google Safe Browsing & Cloudflare Radar: отправьте расшифрованный URL-адрес в safebrowsing.google.com/safebrowsing/report_phish/ и radar.cloudflare.com/scan. После пометки каждый браузер iPhone Safari и Android Chrome по всему миру будет отображать полноэкранное красное предупреждение ** «Впереди обманчивый сайт»** в течение 15-30 минут каждый раз, когда следующий пешеход сканирует наклейку парковочного счетчика.
2. Подайте официальный отчет о киберпреступлении:
3. США: подайте заявление в Центр рассмотрения жалоб на интернет-преступления ФБР (ic3.gov) и Федеральная торговая комиссия (reportfraud.ftc.gov) и сообщите об этом в местную городскую службу парковки.
4. Великобритания: пересылайте электронные письма с запросами на адрес .report@phishing.gov.uk (Национальный центр кибербезопасности) и сообщить о финансовых потерях в ** Action Fraud (actionfraud.police.uk)**.
5. Европейский Союз, Канада и Австралия: отчет в Канадский центр по борьбе с мошенничеством (antifraudcentre-centreantifraude.ca), Австралийские мошенники (scamwatch.gov.au) или в национальную группу реагирования на компьютерные чрезвычайные ситуации (CERT).

Как безопасно проверить любой QR-код ПЕРЕД посещением URL-адреса (контрольный список мер по предотвращению)¶

Вам никогда не придется гадать, куда ведет QR-код. Следуйте этим пяти правилам каждый раз, когда вы встречаете QR-код публично или по почте:

• Проведите ногтем по физическим QR-кодам на парковочных счетчиках, зарядных устройствах для электромобилей и столиках в ресторанах: настоящие QR-коды парковочных киосков и зарядных устройств для электромобилей либо нанесены шелкографией непосредственно на металлическую лицевую панель, либо запечатаны под прозрачным защитным листом из поликарбоната. Если ваш ноготь зацепился за приподнятый край бумажной или виниловой наклейки, приклеенной сверху вывески, никогда не сканируйте ее.
• Прочитайте полный предварительный просмотр URL-адреса в родном приложении камеры и игнорируйте сокращатели URL-адресов: как встроенное приложение iOS Camera, так и Android Camera перед открытием браузера отображают небольшой баннер в виде таблетки, показывающий имя домена. Если на муниципальном парковочном счетчике или в банковском уведомлении отображается сокращенный или общий URL-адрес (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.in, или page.link), не нажимайте, государственные учреждения и крупные банки никогда не используют сторонние средства сокращения ссылок в платежных киосках.
• Отключите параметр «Открывать ссылки автоматически» в настройках камеры вашего телефона. Убедитесь, что приложение камеры требует от вас вручного чтения и касания баннера предварительного просмотра URL-адреса, а не запускать браузер в тот момент, когда QR-код попадает в кадр.
• Никогда не сканируйте QR-код, который приходит в нежелательном физическом письме или открытке («Таинственный пакет USPS / Royal Mail / Amazon»): Мошенники отправляют физические посылки, содержащие дешевый, не заказанный товар (например, пластиковое кольцо или зарядное устройство для телефона, «мошенничество с щеткой»), сопровождаемый карточкой с надписью * «Отсканируйте этот QR-код, чтобы узнать, кто отправил вам этот подарок, или обработать возврат». * Выбросьте QR-карту в мусор.
• Загружайте приложения для парковки и зарядки электромобилей непосредственно из App Store/Play Store. Вместо сканирования уличного QR-кода откройте официальное приложение ParkMobile, PayByPhone, RingGo или ChargePoint и введите Номер зоны, напечатанный на знаке.

Часто задаваемые вопросы¶