quishing

Quishing to phishing, w którym adres fałszywej strony zapisany jest w kodzie QR zamiast w zwykłym linku. MITRE ATT&CK opisuje go jako użycie kodów QR do przekierowania użytkownika na stronę phishingową ^[1]. Nazwa powstała ze zlepienia słów „QR code” i „phishing” ^[7]. FBI definiuje quishing jako technikę, która zmusza ofiarę do przejścia z firmowego komputera na urządzenie mobilne i w ten sposób omija tradycyjne zabezpieczenia poczty ^[2].

Jak działa

Kod QR jest dla człowieka nieczytelny. Adres, który koduje, widać dopiero po zeskanowaniu, zwykle na małym ekranie telefonu. Atakujący wykorzystuje to na dwa sposoby. Po pierwsze, filtry pocztowe analizują linki w treści wiadomości, a kod QR jest obrazem. FBI zauważa, że kampanie quishingowe dostarczają kody jako załączniki albo osadzone grafiki i w ten sposób unikają inspekcji adresów, ich przepisywania i analizy w piaskownicy ^[2]. Po drugie, ofiara skanuje kod prywatnym telefonem, który leży poza zasięgiem firmowych systemów EDR (Endpoint Detection and Response) i kontroli ruchu sieciowego ^[2].

MITRE zwraca uwagę na ten sam efekt: złośliwy kod QR w mailu pozwala przenieść atak z komputera użytkownika na jego urządzenie mobilne ^[1]. Przebieg ataku na konto firmowe, opisany przez FBI, pokazuje schemat poniżej.

RYS. 1Quishing wymierzony w konto firmowe

Według FBI po zeskanowaniu kodu ofiara przechodzi przez przekierowania kontrolowane przez atakującego, które zbierają dane o urządzeniu, takie jak system, adres IP i rozmiar ekranu ^[2]. Na tej podstawie wyświetlana jest strona logowania dopasowana do telefonu, podszywająca się na przykład pod Microsoft 365, Okta albo portal VPN ^[2].

Odmiany

Kod QR może trafić do ofiary różnymi kanałami. Zestawienie opiera się na opisanych przypadkach.

Odmiana wymierzona w konkretne osoby to spear phishing z kodem QR. Odmiana konsumencka, związana z płatnościami i ogłoszeniami, w słowniku ma osobne hasło: oszustwo z kodem QR.

W WordPressie

Quishing nie wykorzystuje błędu w WordPressie. Dotyczy ludzi, którzy stroną zarządzają. Administrator, redaktor albo klient sklepu może dostać mail z kodem QR, który rzekomo prowadzi do logowania w panelu hostingu, w poczcie albo w samej witrynie. Zeskanowanie kodu i podanie hasła na fałszywej stronie kończy się przejęciem konta, a przy koncie administratora także przejęciem strony.

Kody QR pojawiają się też w legalnej pracy z WordPressem. Wtyczki do uwierzytelniania dwuskładnikowego (2FA) pokazują kod QR przy konfiguracji aplikacji uwierzytelniającej. Użytkownik przyzwyczajony do skanowania kodów w panelu łatwiej uzna kod w mailu za rutynowy. Warto więc przyjąć prostą zasadę: kod QR związany z kontem skanuje się tylko w panelu, do którego weszło się samodzielnie, wpisując adres ręcznie.

Właściciel strony, który drukuje kody QR prowadzące do witryny, na przykład na ulotkach, powinien pamiętać o scenariuszu opisanym przez MITRE: atakujący może zastąpić prawdziwy kod w miejscu publicznym własnym, prowadzącym do strony phishingowej ^[1]. Kod powinien kierować na domenę strony przez HTTPS, bez skracaczy adresów, tak by odbiorca mógł rozpoznać adres na podglądzie w aparacie.

Zagrożenia i skutki

Najpoważniejszym skutkiem jest przejęcie tożsamości w usługach chmurowych. FBI opisuje, że operacje quishingowe często kończą się kradzieżą i ponownym użyciem tokenu sesyjnego, co pozwala ominąć uwierzytelnianie wieloskładnikowe (MFA) bez alarmów o nieudanym logowaniu ^[2]. Następnie atakujący utrwala dostęp w organizacji i wysyła kolejne wiadomości phishingowe z przejętej skrzynki ^[2]. To podobny mechanizm jak w phishing AiTM (adversary-in-the-middle).

Poza kontami firmowymi skutkiem bywa kradzież danych karty płatniczej i danych osobowych ^[6], a także instalacja złośliwego oprogramowania (malware) na telefonie ^[4]. CERT Polska opisał też przypadki, w których sparowanie telefonu z kontem atakującego posłużyło do obciążania ofiar opłatami za SMS-y premium i do szantażu ^[5].

Jak się bronić

Zalecenia FBI dla organizacji obejmują kilka warstw ^[2]:

• szkolenia z ryzyka skanowania niezamówionych kodów QR, niezależnie od tego, czy przyszły mailem, listem, na ulotce czy na opakowaniu;
• weryfikację źródła kodu inną drogą, na przykład kontaktem z nadawcą, zanim poda się hasło;
• MDM (zarządzanie urządzeniami mobilnymi) albo rozwiązania ochrony urządzeń, które analizują adresy z kodów QR;
• uwierzytelnianie odporne na phishing, na przykład FIDO2 / WebAuthn, dla dostępu zdalnego i systemów wrażliwych;
• zasadę najmniejszych uprawnień i regularny przegląd kont.

Kapitan Hack wskazuje także rozpoznawanie tekstu na obrazach (OCR) w systemach ochrony poczty, bo wiadomości quishingowe mogą w ogóle nie zawierać tekstu ^[7]. Dla odbiorców indywidualnych FTC zaleca nie skanować nieznanych kodów z nieoczekiwanych paczek, a po wpisaniu hasła na podejrzanej stronie natychmiast je zmienić i włączyć uwierzytelnianie dwuskładnikowe ^[4]. Quishing jest odmianą socjotechniki, więc techniczne filtry tylko ograniczają ryzyko.

Historia i przykłady

W lipcu 2022 roku Sekurak opisał w Polsce oszustwo, w którym rzekomy kupujący z OLX wysyłał kod QR prowadzący do fałszywej strony płatności Allegro ^[6]. W grudniu 2022 roku CERT Polska ostrzegł przed oszustwami, w których przestępcy nakłaniali dzieci i nastolatków do zeskanowania kodu parującego aplikację Wiadomości Google z urządzeniem atakującego ^[5].

W lipcu 2023 roku Kapitan Hack opisał kampanię, w której maile zawierały wyłącznie obraz z kodem QR; według tego opisu przejęto 545 kont użytkowników ^[7]. FTC w styczniu 2025 roku ^[4], a FBI w lipcu 2025 roku ^[3] ostrzegały przed paczkami bez nadawcy z kodem QR.

8 stycznia 2026 roku FBI wydało komunikat FLASH o północnokoreańskiej grupie Kimsuky, zaliczanej do APT, która w maju i czerwcu 2025 roku wysyłała think tankom i instytucjom maile z kodami QR ^[2]. W jednym z opisanych przypadków kod prowadził przez stronę rejestracji na nieistniejącą konferencję do fałszywej strony logowania Google ^[2].