W świecie cyberbezpieczeństwa pojawiło się nowe zagrożenie – quishing. Coraz częściej pada pytanie: quishing co to właściwie za zjawisko? Najprościej mówiąc, jest to kolejna odsłona phishingu, polegająca na skanowaniu fałszywych kodów QR zamiast klikania w linki. W niniejszym artykule zostanie wyjaśnione, na czym polega ten scam, omówione zostaną powody jego skuteczności, sposoby jego rozpoznawania oraz metody ochrony.
Co to jest quishing?
Termin quishing powstał z połączenia słów „QR code” i „phishing”. Jest to nowa forma oszustwa internetowego, polegająca na wykorzystaniu kodów QR do zwodzenia użytkowników i kradzieży ich danych osobowych lub finansowych. Mówiąc prościej, to rodzaj ataku phishingowego (zob. co to jest phishing), w którym zamiast tradycyjnego linku ofiara otrzymuje obraz kodu QR prowadzącego do fałszywej strony lub aplikacji. Po zeskanowaniu takiego kodu przeglądarka internetowa przenosi użytkownika na spreparowaną witrynę, często łudząco podobną do prawdziwej strony banku, sklepu czy innej instytucji. Tam ofiara bywa proszona o podanie loginu, hasła, danych karty kredytowej lub innych wrażliwych informacji, które następnie trafiają prosto do oszustów.
Omawiany scam bywa trudniejszy do wychwycenia niż klasyczny phishing, gdyż kod QR nie ujawnia od razu, na jaki adres prowadzi. Nawet ostrożny użytkownik, który przed kliknięciem linku sprawdziłby dokładnie adres URL, w przypadku kodu QR może tego nie zrobić – smartfon po zeskanowaniu kodu od razu wyświetla stronę, często pokazując jedynie skrócony fragment adresu. Ofiara może więc nie zauważyć, że odwiedzana domena różni się od prawdziwej (np. zawiera literówki lub dziwne rozszerzenie). To sprawia, że jest bardzo niebezpieczny.
Dlaczego quishing jest skuteczny?
Omawiana metoda wykorzystuje fakt, że użytkownicy przyzwyczaili się do wygody skanowania kodów QR i rzadziej podchodzą do nich z podejrzliwością. Po pandemii kody QR stały się powszechne – służą do płatności, menu w restauracjach czy logowania się do aplikacji – dlatego wiele osób uważa je za bezpieczne. Oszuści wykorzystują to zaufanie. Tego typu atak unika także wykrycia przez niektóre filtry bezpieczeństwa. Tradycyjne systemy antyphishingowe analizują treść wiadomości i wychwytują podejrzane linki, ale w przypadku obrazu z kodem QR analiza jest trudniejsza. W efekcie złośliwy e-mail z obrazkiem kodu może ominąć filtr antyspamowy i trafić do skrzynki odbiorcy.
Istotnym czynnikiem skuteczności tego oszustwa jest również element ludzki – ciekawość lub presja czasu. Jeśli ofiara otrzymuje kod QR rzekomo z zaufanego źródła (np. banku, portalu aukcyjnego albo znajomego) z pilną prośbą o jego zeskanowanie, może ulec pokusie szybkiego działania bez namysłu. Brak od razu widocznego linku zmniejsza czujność – użytkownik nie dostrzega na pierwszy rzut oka nic podejrzanego. W rezultacie taka metoda często prowadzi do skutecznego wyłudzenia danych, zanim ofiara zorientuje się, że coś jest nie tak.
