Com que frequência você escaneia códigos QR sem pensar duas vezes? E se essa decisão inocente pudesse te expor a uma ameaça crescente no cenário digital?
Os códigos QR – abreviações de códigos de resposta rápida – cresceram em popularidade, tornando-se essenciais em nossa era digital. Originalmente projetados para rastreamento industrial, sua facilidade de uso os tornou uma ferramenta essencial para compartilhamento de informações. Houve uma mudança em direção aos pagamentos digitais na era dos smartphones, e os códigos QR tornaram-se comuns para facilitar transações e acessar dados rapidamente.
Existem dois tipos principais de códigos QR: códigos QR dinâmicos, que podem ser modificados para atualizações regulares, mas são suscetíveis a ataques cibernéticos, e códigos QR estáticos, que permanecem fixos e estáveis, mas podem ser alvo de cibercriminosos. À medida que nos aprofundamos no mundo dos códigos QR, é crucial compreender a sua dinâmica e riscos potenciais, lançando luz sobre o lado mais sombrio que acompanha a sua popularidade generalizada.
O que é um ataque de phishing por código QR?
Quishing, também conhecido como phishing de código QR, é um tipo de ataque cibernético em que os cibercriminosos exploram códigos QR para induzir os usuários a fornecer informações confidenciais ou baixar conteúdo malicioso. Eles criam códigos QR de aparência realista, empregam engenharia social e exploram vulnerabilidades em aplicativos de leitura de códigos QR.
Quishing vs. ataques de phishing comuns
Os ataques de phishing envolvem táticas enganosas para induzir os indivíduos a revelar informações confidenciais, como nomes de usuário, senhas ou detalhes financeiros. Estes ataques imitam entidades respeitáveis através de canais aparentemente confiáveis, como e-mails ou mensagens instantâneas, com o objetivo principal de acesso não autorizado ou roubo.
Os ataques de quishing representam uma variação diferenciada dos esquemas convencionais de phishing. Os invasores usam códigos QR para facilitar a distribuição por meio de vários canais, como materiais impressos ou e-mails, aproveitando sua capacidade de se integrar aos contextos do dia a dia. Este método fornece um meio rápido e camuflado para redirecionar os usuários para sites fraudulentos, onde eles podem divulgar involuntariamente informações confidenciais. Os invasores se beneficiam do uso generalizado e da confiança associada aos códigos QR, explorando a conveniência e muitas vezes ignorando o escrutínio dos URLs subjacentes pelos usuários.
Uma análise passo a passo do processo de ataque
1) Criação de códigos QR maliciosos
Os cibercriminosos criam códigos QR que parecem legítimos, mas redirecionam os usuários para sites fraudulentos ou solicitam o download de conteúdo malicioso.
2) Técnicas de engenharia social
Os phishers costumam usar mensagens persuasivas para manipular os usuários para que digitalizem códigos QR maliciosos. Essas mensagens podem prometer recompensas, descontos ou alertas urgentes para criar uma sensação de urgência ou entusiasmo.
3) Canais de distribuição
Os códigos QR maliciosos são espalhados através de vários canais, incluindo e-mails de phishing, anúncios falsos ou até mesmo itens físicos como cartazes e folhetos, explorando vítimas inocentes em espaços online e offline.
4) Técnicas de camuflagem
Os códigos QR maliciosos são muitas vezes criados para serem visualmente indistinguíveis dos legítimos, à medida que os invasores utilizam técnicas de camuflagem. Isso envolve imitar marcas, logotipos e elementos de design para enganar os usuários, aproveitando o desafio de distinguir entre códigos autênticos e maliciosos.
5) Redirecionando para sites fraudulentos
Depois que o código QR é escaneado, as vítimas são redirecionadas para sites falsos que imitam os legítimos, solicitando que insiram informações confidenciais, como nomes de usuário e senhas ou detalhes financeiros.
6) Baixando conteúdo malicioso
Em alguns casos, a leitura de um código QR malicioso pode iniciar o download de malware no dispositivo do usuário, comprometendo a segurança e potencialmente levando a novos ataques cibernéticos.
7) Coleta de dados e roubo de identidade
Os phishers coletam as informações inseridas pelas vítimas em sites falsos, levando ao roubo de identidade, perdas financeiras ou acesso não autorizado a contas pessoais.
Exemplos da vida real
Em fevereiro de 2022, em Atlanta, motoristas encontraram multas de estacionamento falsas em seus carros com códigos QR para supostos pagamentos de multas. Depois de descobrirem isso, as autoridades locais alertaram os moradores, enfatizando que as multas de estacionamento genuínas em Atlanta não incluem códigos QR.
No mesmo ano, uma campanha de phishing QR na China se passou pelo Ministério das Finanças chinês, atraindo usuários com um pedido falso de subsídio governamental. As vítimas foram instruídas a escanear um código QR contido em um anexo de e-mail usando o aplicativo WeChat. Após a digitalização, os usuários foram direcionados para uma página enganosa, onde divulgaram involuntariamente informações detalhadas de cartão de crédito e contas bancárias, sob o pretexto de solicitar uma concessão inexistente.
Protegendo-se do golpe do código QR
-
Mantenha o sistema operacional e os recursos de segurança do seu smartphone atualizados para as versões mais recentes.
-
Habilite o MFA para obter uma camada extra de segurança para proteger suas informações pessoais.
-
Tenha cuidado ao encontrar códigos QR em e-mails, pois eles podem ser usados para tentativas de phishing.
-
Empregue filtragem da web por meio de software de segurança confiável para bloquear sites maliciosos e ameaças potenciais.
Mantenha-se atualizado sobre ameaças emergentes relacionadas a golpes de código QR por meio de fontes de inteligência de ameaças.
Artigo original: The rise of QR code threats: From convenience to caution
