Ключови изводи
- QR кодовете са толкова опасни, колкото и злонамерените връзки в имейлите.
- Тези кодове съдържат връзки, които могат да отварят приложения, да започват телефонни обаждания, да споделят вашето местоположение и други.
- Защитете се, като избягвате QR кодове и вместо това използвате връзка.
Вместо да събираме мръсно меню на ресторант с голи ръце, ние сме свикнали с хигиената на QR кодовете. Но те могат да бъдат малко по-мръсни и много по-опасни, отколкото си мислите.
През 2015 г. немски любител на кетчуп сканира QR кода на тяхната бутилка Heinz и беше изпратен направо в порно сайт. Това може да е неудобно, но има по-лоши последствия от сляпото сканиране на QR кодове. Според услугата за управление на пароли 1Password, QR кодовете могат да задействат телефонни обаждания, да издадат вашето местоположение, да започнат телефонно обаждане, което разкрива вашата идентификация на обаждащия се и други. И така, какво можем да направим по въпроса?
„Всички сме приучени да сканираме QR код, за да разглеждаме меню или дори да плащаме сметките си, а киберпрестъпниците сега се възползват от това чрез използването на злонамерени QR кодове,“Крейг Лури, експерт по киберсигурност и съпр. -основател на Keeper Security, каза пред Lifewire по имейл. „Така че това, което може да изглежда като код за плащане на автомат за паркиране и сайтът ще изглежда невероятно легитимен, вие всъщност въвеждате данните на вашата кредитна карта директно в базата данни на крадец.“
Лоши връзки
QR кодът е просто пряк път към връзка, която може да бъде прочетена от камерата на телефона ви и след това декодирана. Всички сме обучени никога да не кликваме върху връзка в имейл, дори и да изглежда законна. Но връзките с QR кодове са също толкова опасни и имат допълнителен проблем, че не можете да видите къде водят, докато не ги сканирате.
Когато мислим за връзки, мислим за URL адреси, които ни отвеждат до уебсайтове. И в случая с порно хакването на Heinz ketchup, това беше проблемът - Heinz остави името на домейна да изтече и някой друг го купи, след което го зареди с мръсни снимки. URL адресите са опасни, както показва фишинг измамата на паркомата на Lurey, но връзките могат да направят много повече.
"Един от най-големите проблеми е, че за разлика от уебсайтовете, QR връзките към съкратени URL адреси рядко идентифицират името на бизнеса", каза Монти Кноде, бивш командир на 67-ма киберпространствена оперативна група на USAF, каза пред Lifewire по имейл. „Човек щраква върху него и предполага, че ще предостави меню на ресторант, програма за конференция или дори линк за благотворителност и много вероятно може да е фалшив сайт или злонамерен линк, който изтегля код на вашия компютър или мобилно устройство."
На нашите телефони връзките могат да задействат приложения. Отваря се например връзка към Google Maps в приложението за карти. Връзките могат също така да задействат телефонни обаждания, да добавят контакти към вашата адресна книга (и следователно да направят бъдещите обаждания и имейли да изглеждат легитимни), те могат да споделят вашето местоположение и др.
Една гениална измама включва неправилно модифициране на съществуващ легитимен QR код и използването му за пренасочване на жертвите. Рекламодателят Робърт Бароуз сподели история за своя Video Enhanced Gravemarker.
"Разбрах, че може да има няколко проблема с QR кодовете на надгробните плочи", каза Бароуз пред Lifewire по имейл. „Какво се случва, ако мастилото върху QR кода се разпадне с течение на времето? Ще се окажете ли да се свържете с напълно различен уебсайт? Какво се случва, ако някой промени QR кода с маркер?“
Същото нещо може да се случи с рекламни плакати, менюта или всеки QR код.
Защита на себе си
Първа стъпка в защитата на себе си е да сте наясно. Никога не сканирайте QR код, освен ако не сте сигурни, че е безопасен. Което всъщност означава, че никога не сканирайте QR код.
Но ако трябва да сканирате, за да се регистрирате в ресторант или бар или да видите меню, първо се уверете, че кодът не е бил подправен или покрит със стикер на друг QR код. Един съвет е да изключите автоматичното сканиране на QR код в настройките на телефона си, ако е възможно. Но наистина най-добрата защита е да внимавате.
„Когато е възможно, точно както при потенциалните фишинг връзки, препоръките са да отидете директно на уебсайта на доставчика, за да извлечете информацията, която търсите“, каза Дейв Кундиф, CISO от компанията за киберсигурност Cyvatar, каза за Lifewire по имейл. „В повечето случаи информацията се хоства в мрежата и е достъпна директно на уебсайта на доставчика някъде.“
Ако връзката не е налична, не я сканирайте. Това е много по-малко удобно, но не толкова неудобно, колкото дните или седмиците на говорене, занимаващи се с последиците от злонамерена връзка.
