Як захиститися від квішингу: запобігайте фішингу через QR-коди
Швидке сканування. Маленький квадрат на флаєрі. Термінова записка "натисніть тут" на талоні для паркування. Саме на цю миттєву довіру розраховують зловмисники. Квішинг - фішинг за допомогою QR-кодів - виглядає нешкідливо, але він може провести пристрій через приховані перенаправлення, завести користувачів на переконливі підроблені сторінки входу або непомітно передати токени відстеження, що призводять до витоку даних.
У цій статті пояснюється, чому QR-коди створюють сліпу зону, чому порада "просто перевірте URL" часто не працює, та наводяться практичні кроки для зменшення ризику. В останньому розділі розповідається, як Clean Links розкриває справжній кінцевий пункт призначення та видаляє параметри відстеження ще до відкриття сторінки.
Чому QR-коди створюють сліпу зону
QR-коди одночасно усувають необхідність вводити текст і позбавляють контексту.
- Коли код сканується, телефон розшифровує дані та показує URL-адресу або дію. Ця перша URL-адреса може бути проміжною точкою - коротким посиланням, редиректором або сторінкою в хмарі, яка негайно перенаправляє на інший ресурс.
- Зловмисники використовують сервіси скорочення посилань та багатоетапні перенаправлення, щоб приховати кінцеву мету. Те, що на перший погляд виглядає безпечним, після одного або кількох перенаправлень може стати сторінкою для викрадення облікових даних.
- QR-коди можна розмістити будь-де: на плакатах, у меню, в поштових розсилках, на наліпках, наклеєних поверх справжніх кодів. Таке фізичне розміщення робить їх переконливими та легкими для зловживання.
Чому порада "Перевірте URL" часто не працює
Порада "просто перевірте URL" передбачає кілька речей, які на практиці не відповідають дійсності:
- Розшифрована URL-адреса сама може бути редиректором, тому її перевірка показує лише перший крок.
- Багато програм - включно зі стандартними додатками камери - показують розшифроване посилання, але не проходять повний ланцюжок перенаправлень і не розкривають кінцевий пункт призначення до моменту натискання.
- Навіть якщо кінцевий домен виглядає легітимним, до нього можуть бути додані параметри відстеження та партнерські токени. Ці параметри можуть використовуватися для профілювання або бути частиною шахрайських схем, що ускладнює розуміння того, куди насправді веде сканування.
Коротко кажучи: видима URL-адреса корисна, але вона не дає повної картини.
Відео вище демонструє критичну різницю: додаток "Камера" від Apple показує лише початковий домен, тоді як Clean Links проходить усі перенаправлення, щоб показати справжній кінцевий пункт призначення ще до того, як ви натиснете.
Практичні кроки для зменшення ризику
- Ставтеся до небажаних QR-кодів як до невідомих посилань. Якщо щось прийшло поштою, на наліпці або в несподіваному місці, уникайте сканування.
- Якщо компанія надає QR-код (меню, квиток, оплата), перевірте код у персоналу або скористайтеся офіційним додатком чи вебсайтом компанії.
- Уникайте введення облікових даних на сайті, на який ви перейшли за QR-кодом. Для важливих сервісів вводьте відому офіційну адресу вручну або використовуйте надійну закладку.
- Надавайте перевагу сканерам, які показують кінцевий пункт призначення та ланцюжок перенаправлень, а не лише перше розшифроване посилання.
Як допомагає Clean Links
Clean Links створений для того, щоб викривати QR-коди та короткі посилання. Він проходить повний ланцюжок перенаправлень і показує справжню кінцеву URL-адресу ще до відкриття сторінки. У той час як камера iPhone показує лише розшифроване посилання, Clean Links розкриває перенаправлення та видаляє параметри відстеження, щоб цільова сторінка та посилання, що відкривається, відповідали очікуванням. Уся обробка відбувається локально на пристрої, без зовнішнього логування.
Clean Links можна завантажити з App Store безкоштовно.
Короткий чек-лист для самозахисту
- Зробіть паузу перед натисканням. Перевірте попередній перегляд сканера та кінцевий домен.
- Якщо є сумніви, не вводьте паролі чи платіжні дані.
- Якщо посилання вимагає термінової оплати або введення облікових даних, перевірте цей запит поза посиланням.
- Зробіть безпечніший сканер стандартним, якщо ви регулярно скануєте QR-коди в громадських місцях.
Квішинг є успішним, оскільки він використовує звичну поведінку. Невелика обережність у поєднанні з правильними інструментами розриває ланцюжок атаки. Для всіх, хто хоча б іноді сканує QR-коди, використання сканера, який показує попередній перегляд і очищує посилання, усуває значну частину ризику.
