QRishing is een vorm van phishing-aanval waarbij hackers QR-codes misbruiken om privégegevens te stelen, schadelijke software op een apparaat te installeren of een persoon naar een onveilige website te leiden.
Dus hoe werken deze aanvallen? Hoe kunt u voorkomen dat u het slachtoffer wordt van een QRishing-aanval?
Wat is QRishing?
QRishing maakt gebruik van de neiging van telefoongebruikers om QR-codes te scannen uit nieuwsgierigheid, verveling of noodzaak.
De aanvaller kan bijvoorbeeld flyers achterlaten bij een bushalte of op tafels in restaurants of coffeeshops. Wanneer een persoon de QR-code scant met zijn telefoon, denkend dat het een advertentie of menu is, wordt onder andere een URL, een afbeelding of een kaart met een routebeschrijving naar een locatie weergegeven.
Vanaf nu vertrouwen oplichters op social engineering om slachtoffers te misleiden om gevoelige informatie te delen. Hackers kunnen ook misbruik maken van kwetsbaarheden zoals WebKit-bugs in een browser om het apparaat van het slachtoffer over te nemen.
Hoe werkt QRishing?
Natuurlijk zou niet iedereen een willekeurige QR-code scannen zonder een stimulans of een bijschrift waarin wordt uitgelegd wat ze kunnen verwachten te zien. Dus cybercriminelen vinden vaak een andere manier om mensen geïnteresseerd te krijgen.
Wijzig populaire of vertrouwde QR-codes
Een cybercrimineel kan bijvoorbeeld een flyer meenemen van een populaire financiële instelling of overheidsinstantie. Vervolgens wijzigen ze de QR-code, maar behouden ze andere details of ontwerpen en delen ze de flyer online. Ze kunnen ze ook op openbare plaatsen plaatsen waar mensen de QR-code kunnen zien en scannen. Deze specifieke truc werd goed gerapporteerd na de Coinbase QR Code-advertentie op de Super Bowl van 2022 ging viraal.
Plak valse flyers met de QR-code
Hier kan een cybercrimineel valse flyers maken met een QR-code die is gemaakt om mensen die ze scannen naar een website te leiden waar de aanvaller hun gegevens kan stelen. Zelfs als deze poging mislukt, kan de aanvaller nog steeds apparaat- en locatiegegevens verzamelen via de browser van het slachtoffer. Erger nog, een vastberaden aanvaller zou vingerafdrukken in de browser kunnen gebruiken om een slachtoffer online te volgen.
De QR-code insluiten in een scam-e-mail
Deze vorm van QRishing maakt doorgaans deel uit van conventionele e-mailphishingmethoden. In tegenstelling tot verkorte hyperlinks, toont het zweven over een QR-code niet de bestemmings-URL, dus voor het is bijvoorbeeld gemakkelijk voor een oplichter om een potentieel slachtoffer te vertellen een QR-code te scannen om kans te maken op een cadeaukaart.
Hoe QRishing te vermijden
Voor het scannen en lezen van een QR-code zijn meestal twee dingen nodig: een camera en een browser om de informatie in de QR-code te volgen. Omdat het zo eenvoudig is, betekent dit dat het ook eenvoudig is om te voorkomen dat u het slachtoffer wordt. Hier is hoe.
Cameratoegang op uw telefoon blokkeren
De meeste mensen hebben hun telefooncamera klaar om belangrijke momenten vast te leggen of videogesprekken te voeren. Dit is begrijpelijk. Maar met een altijd geactiveerde camera kunt u ook gemakkelijk een QR-code scannen zonder erover na te denken.
Beschouwen je iPhone-camera deactiveren wanneer het niet in gebruik is. Een snelle manier om dat te doen, is door vanuit het systeemvak naar beneden te vegen en de cameratoegang te blokkeren. De andere manier is om te navigeren naar Instellingen > Apps > Machtigingen. U kunt dan de camera uitschakelen of instellen dat deze elke keer dat u de app wilt gebruiken om toegangsrechten vraagt. Het proces is vergelijkbaar voor Android-gebruikers.
Deze verandering van levensstijl zul je ongetwijfeld voelen, vooral als je je camera veel gebruikt. Toch is het incidentele ongemak van het uitschakelen en inschakelen van uw camera de extra beveiliging waard tegen QRishing en apps van derden die toegang hebben tot uw camera.
Houd uw software up-to-date
Hackers kunnen zonder uw medeweten misbruik maken van softwarekwetsbaarheden in uw apps of het besturingssysteem van uw telefoon. Hackers kunnen bijvoorbeeld misbruik maken van WebKit-beveiligingsproblemen in uw browser om uw telefoon, tablet of zelfs smartwatch te hacken. Overweeg om uw apparaten zo in te stellen dat apps automatisch worden bijgewerkt en beveiligingsupdates installeren zodra ze beschikbaar zijn.
Vermijd het online delen van gevoelige informatie
Als u een QR-code scant, wordt u mogelijk naar een webpagina of online formulier geleid waar u om informatie wordt gevraagd zoals uw persoonsgegevens, e-mailadres, accountwachtwoorden of kaartgegevens om kans te maken op een fictieve prijs.
Als vuistregel geldt dat u geen persoonlijke gegevens online deelt. Naast het risico dat je account wordt gehackt of geld wordt gestolen, kunnen cybercriminelen de gegevens die je hebt gedeeld ook gebruiken om: je identiteit stelen.
Denk na voordat u scant
U hoeft niet elke QR-code te scannen die u wordt aangeboden. Blijf sceptisch en scan niets onnodig. In de meeste gevallen kunt u de website of het menu van een bedrijf controleren door er eerst online naar te zoeken.
QRishing: minder vaak voor, maar blijf voorop
QRishing komt minder vaak voor dan andere vormen van phishing, omdat een aanvaller enige moeite zou moeten doen om de kwaadaardige QR-code te verspreiden. Deze vorm van phishing is echter relatief nieuw en niet veel mensen weten ervan, waardoor mensen er gemakkelijk in kunnen trappen. Cybercriminelen die deze aanvallen uitvoeren, hebben alles te winnen en niets te verliezen.
