QR kod koristiš za plaćanje, prijavu na sajt, otvaranje menija ili preuzimanje informacija. Upravo zbog toga prevaranti sve češće koriste quishing – fišing pomoću QR koda.
Lažni kod može da te odvede na stranicu koja izgleda kao sajt banke, dostavne službe ili neke druge poznate kompanije. Pre nego što uneseš lozinku, podatke kartice ili druge lične informacije, proveri adresu stranice koju je QR kod otvorio.
- Quishing je fišing prevara koja koristi QR kod.
- Lažni QR kod može da stigne porukom ili mejlom, ali i da bude zalepljen preko pravog.
- Cilj su najčešće podaci za prijavu, lični ili finansijski podaci.
- Adresu stranice treba proveriti pre nego što na njoj ostaviš bilo kakve informacije.
- Ako si već uneo podatke, važno je reagovati što pre.
Zašto QR kod može da zavara?
Kod klasičnog fišing napada često možeš odmah da vidiš link i primetiš da nešto nije u redu sa adresom. QR kod tu informaciju skriva u slici, pa odredište postaje vidljivo tek kada ga skeniraš.
Upravo na tome se zasniva quishing, odnosno fišing pomoću QR koda. Microsoft je tokom jednog od talasa ovakvih napada beležio i milione blokiranih QR fišing pokušaja dnevno u okruženjima koja štiti.
To ipak ne znači da je svaki nepoznati QR kod opasan niti da će samo skeniranje automatski dovesti do krađe podataka. Ali postoji šansa da nas on odvede do lažne stranice gde se od korisnika traži da unese osetljive informacije ili preuzme sumnjivi sadržaj.
QR kod uglavnom ne izgleda sumnjivo i kada je deo prevare – baš zato treba uvek proveriti stranicu koju otvara.
Gde može da se pojavi lažni kod?
Prevara može da počne u mejlu ili poruci koja traži da skeniraš kod kako bi potvrdio nalog, promenio lozinku ili proverio navodnu isporuku.
Lažni QR kodovi mogu da se pojave i van ekrana. Zabeleženi su slučajevi u kojima su prevaranti lepili svoje kodove preko originalnih QR oznaka na parking automatima, pa je korisnik mislio da otvara zvaničnu stranicu za plaćanje.
Sličan princip može da se primeni na plakate, obaveštenja i druge kodove postavljene na javnim mestima. Fizička nalepnica zato ne znači automatski da je QR kod postavila organizacija čije se ime nalazi pored njega.
Poseban signal za oprez je zahtev da reaguješ odmah. Poruke o blokiranom nalogu, neuspešnoj dostavi ili navodnom problemu sa plaćanjem često pokušavaju da ostave što manje vremena za proveru.
Šta prevaranti pokušavaju da dobiju nakon skeniranja?
Na stranici koju QR kod otvori od korisnika mogu da se traže:
- korisničko ime i lozinku;
- podatke platne kartice;
- lične podatke;
- kod za potvrdu prijave ili transakcije.
Uneti podaci tada završavaju kod prevaranta, iako korisniku može da izgleda kao da ih je ostavio na pravom sajtu.
U pojedinim napadima cilj može da bude i preuzimanje zlonamernog sadržaja na uređaj. Cilj je isti kao kod drugih fišing napada – da korisnik dođe na lažnu stranicu i tamo ostavi podatke. Razlika je u tome što se kod quishinga do nje dolazi skeniranjem QR koda.
Koji detalji mogu da odaju lažnu stranicu?
Lažna stranica može vizuelno veoma dobro da imitira pravi sajt, pa logo i dizajn nisu dovoljna potvrda da si na pravom mestu. Najvažnije je proveriti adresu u browseru, posebno naziv domena.
Obrati pažnju na sitne izmene poput dodatnog slova, crtice ili drugačijeg nastavka domena. Čak ni oznaka https sama po sebi ne potvrđuje da stranica pripada kompaniji za koju se predstavlja.
Obrati pažnju i na to da li stranica odgovara radnji koju pokušavaš da obaviš. Ako te nakon jednostavnog skeniranja neočekivano preusmerava na prijavu ili plaćanje, zastani pre nego što nastaviš.
Ako imaš nedoumice, zatvori stranicu i do željene usluge dođi direktno kroz zvaničnu aplikaciju ili adresu sajta koju već poznaješ.
Šta da uradiš ako si već skenirao lažni QR kod?
Samo otvaranje sumnjive stranice i ostavljanje podataka na njoj nisu ista situacija. Ako si skenirao kod, ali nisi uneo podatke niti preuzeo sadržaj, zatvori stranicu i nemoj nastavljati dalje.
Ako si uneo lozinku, a stranica ti izgleda sumnjivo, promeni je što pre. Posebno proveri da li istu lozinku koristiš i na drugim nalozima, jer jedan kompromitovan podatak može da otvori pristup na više mesta.
Ako si ostavio podatke platne kartice ili odobrio sumnjivu transakciju, kontaktiraj banku i proveri poslednje aktivnosti na računu.
Kodove za potvrdu prijave i transakcije takođe treba tretirati kao osetljive podatke. Ako si ih uneo na sumnjivoj stranici, proveri bezbednost naloga i aktivne prijave, a gde je moguće uključi dvostepenu autentifikaciju kao dodatnu zaštitu naloga.
Zaključak
QR kod može da te odvede na lažnu stranicu koja izgleda potpuno uverljivo, zato pre unosa lozinke, podataka kartice ili drugih osetljivih informacija proveri naziv domena.
Ako adresa ne odgovara zvaničnom sajtu kompanije, nemoj nastavljati dalje — bez obzira na to koliko stranica izgleda poznato.
Autor teksta: Digi svet tim
