oszustwo z kodem QR

Oszustwo z kodem QR (QR code fraud) to odmiana oszustwa, w której sprawca podsuwa ofierze kod QR prowadzący do fałszywej strony płatności lub logowania. Kod bywa naklejony na parkomat, wydrukowany na fałszywym mandacie albo wstawiony do wiadomości e-mail. MITRE opisuje to zjawisko w ramach techniki T1660: przeciwnik może użyć kodów QR, nazywanych quishingiem, by przekierować użytkownika na stronę phishingową ^[1]. Kod QR jest więc tylko nośnikiem adresu, a właściwym atakiem pozostaje phishing i socjotechnika.

Jak działa

Kod QR zapisuje ciąg znaków, najczęściej adres URL. Telefon po zeskanowaniu pokazuje go przez chwilę albo od razu otwiera przeglądarkę. Człowiek nie odczyta adresu z samego wzoru czarnych i białych kwadratów, więc ocenia wiarygodność po otoczeniu: logo miasta na naklejce, urzędowym wyglądzie kartki za wycieraczką, szacie graficznej maila.

Niebezpiecznik zwraca uwagę na trzy cechy, które odróżniają ten wariant od zwykłego linku. Kody QR często nie są wykrywane przez systemy antyphishingowe jako groźne odnośniki, mogą być ukryte w obrazku lub załączniku PDF, a szkolenia uczą przede wszystkim, by nie klikać w linki, i skanowanie nie budzi tej samej czujności ^[6]. MITRE dodaje, że kod QR przenosi ofiarę z chronionego komputera służbowego na prywatny telefon, poza zasięg firmowej kontroli adresów ^[1].

Typowy przebieg oszustwa na parkomacie pokazuje schemat poniżej.

RYS. 1Fałszywy kod QR na parkomacie

Samo zeskanowanie kodu zwykle nie szkodzi. Sekurak podkreśla, że niebezpieczeństwo pojawia się dopiero po wejściu na fałszywą stronę i podaniu na niej danych ^[5].

Odmiany

Kod QR może prowadzić do różnych celów. Najczęściej jest to fałszywa bramka płatności albo strona zbierająca dane uwierzytelniające, ale nie tylko.

Ostatni wariant nie wymaga fałszywej strony. CERT Polska opisał w 2022 roku oszustwo wymierzone w dzieci i nastolatków, które nakłaniano do zeskanowania kodu parującego aplikację Wiadomości Google z urządzeniem sprawcy ^[2]. Do sparowania nie jest potrzebne podanie danych uwierzytelniających, a sprawca zyskuje wgląd w wiadomości, listę kontaktów i możliwość wysyłania SMS-ów ^[2]. CERT Polska wskazał jako skutki obciążenia za SMS-y premium, szantaż oraz ryzyko przechwycenia kodów SMS używanych w uwierzytelnianiu dwuskładnikowym ^[2]. Pokrewnym zjawiskiem jest smishing, w którym link przychodzi w SMS-ie.

W WordPressie

Strona na WordPressie bywa w tym oszustwie celem podrobienia, a nie narzędziem. Sprawca kopiuje wygląd serwisu z płatnościami, rejestruje podobną domenę i drukuje kody prowadzące do kopii. W Krakowie w 2023 roku użyto do tego dwóch domen łudząco podobnych do miejskiego systemu parkowania, zarejestrowanych kolejno 11 i 13 lipca ^[3]. To klasyczny typosquatting.

Groźniejszy dla właściciela witryny jest przypadek, w którym jego własna domena staje się pośrednikiem. Open redirect to według MITRE sytuacja, gdy aplikacja przyjmuje od użytkownika adres zewnętrznej strony i używa go w przekierowaniu ^[7]. Ponieważ nazwa serwera w spreparowanym linku jest identyczna z oryginalną, próba phishingu wygląda bardziej wiarygodnie ^[7]. Kod QR z adresem example.com, który po cichu przekierowuje na obcą bramkę, jest wtedy trudny do odróżnienia od prawdziwego.

WordPress udostępnia do przekierowań funkcję wp_safe_redirect(). Sprawdza ona, czy adres docelowy wskazuje dozwolonego hosta, a jeśli nie, kieruje do panelu na adresie witryny, co zapobiega złośliwym przekierowaniom na inne hosty ^[8]. Listę dopuszczonych domen rozszerza filtr allowed_redirect_hosts ^[8].

// adres z parametru trafia do przekierowania tylko wtedy, gdy host jest dozwolony
wp_safe_redirect( wp_unslash( $_GET['redirect_to'] ?? home_url( '/' ) ) );
exit;

Właściciel sklepu lub serwisu, który sam drukuje kody QR, powinien kierować je wprost na własną domenę z ważnym certyfikatem SSL/TLS, bez skracaczy linków i pośrednich przekierowań.

Zagrożenia i skutki

Najczęstszym skutkiem jest utrata pieniędzy z karty lub konta. Na krakowskiej fałszywej stronie żądano numeru karty, loginu i danych dostępu do bankowości ^[3]. Wyłudzone dane logowania prowadzą do przejęcia konta, a w wariancie z parowaniem aplikacji do przejęcia kodów SMS i dalszych nadużyć ^[2].

Skala zjawiska rosła w 2023 roku. Niebezpiecznik, powołując się na firmę Cofense, podał wzrost liczby kampanii phishingowych z kodami QR o 270 procent w maju, 500 procent w czerwcu i kolejne 155 procent w lipcu, każdorazowo w porównaniu z poprzednim miesiącem ^[6].

Jak się bronić

• Przed zeskanowaniem kodu w miejscu publicznym sprawdzić, czy nie jest naklejką na oryginale.
• Po zeskanowaniu obejrzeć pełny adres przed otwarciem strony. Niebezpiecznik radzi traktować kody QR z taką ostrożnością jak skrócone linki, bo nie widać od razu, dokąd prowadzą ^[6].
• Płacić za parking przez oficjalną aplikację albo adres wpisany ręcznie.
• Nie skanować kodów parujących, które nieznajomy podsuwa w komunikatorze; CERT Polska zaleca budowanie świadomości tego oszustwa wśród młodzieży ^[2].
• Ofiarom wariantu z parowaniem CERT Polska zaleca natychmiastowe rozłączenie sparowanych urządzeń i zawiadomienie policji ^[2].

MITRE jako środki ograniczające phishing mobilny wymienia oprogramowanie ochronne blokujące ruch do znanych stron phishingowych oraz uczenie użytkowników rozpoznawania technik socjotechnicznych ^[1], czyli szkolenia z cyberbezpieczeństwa dla pracowników. Podejrzaną stronę można przekazać do CERT Polska.

Historia i przykłady

• Grudzień 2022. CERT Polska ostrzega przed oszustwem z kodem parującym aplikację do wiadomości, prowadzonym przez komunikatory takie jak Discord ^[2].
• Lipiec 2023, Kraków. Fałszywe kody QR na parkomatach prowadzą do stron wyłudzających dane kart. Policja zatrzymała co najmniej dwóch obcokrajowców; zarzuty dotyczyły art. 286 Kodeksu karnego ^[3].
• Październik 2023, Warszawa. CERT Polska ostrzega przed fałszywymi mandatami za parkowanie z kodem QR prowadzącym do strony kradnącej dane kart płatniczych ^[4].
• Listopad 2024, Katowice. Miasto informuje o fałszywych kodach QR na około 20 parkomatach, które kierowały do fałszywej strony płatności ^[5].