[datensicherheit.de, 08.11.2024] In einer aktuellen Stellungnahme geht Sophos auf die Problematik des Phishings mit QR-Codes („ Quishing“) ein: „In Anlehnung an Albert Einstein ließe sich wohl sagen, dass der kriminelle Einfallsreichtum der Menschen unendlich ist. Der neueste Trend ,Quishing’ beweist jedenfalls einmal wieder, dass die Cyber-Kriminellen keine Möglichkeit auslassen.“ Experten von „Sophos X-Ops“ haben sich demnach den neuesten Cyber-Hype der Infiltration über QR-Codes genauer angesehen.

Cyber-Kriminelle kombinieren Phishing-Methoden mit eigentlich ganz harmlosen QR-Codes

Wenn Cyber-Kriminelle ihre Phishing-Methoden mit eigentlich ganz harmlosen QR-Codes kombinieren, sei von „Quishing“ die Rede. Mittlerweile sei diese neue Taktik so populär geworden, dass es schon ganze Kampagnen dazu gebe. Die Analysten von „Sophos X-Ops“ hätten gerade einen Coup aufgedeckt, bei dem ein Sophos-Mitarbeiter ein PDF-Dokument mit einem QR-Code als E-Mail-Anhang erhalten habe.

„Dieser QR-Code war ein Phishing-Köder, um Zugang zu den Anmeldeinformationen des Nutzers inklusive des MFA-Tokens (Multi-Faktor-Authentifizierung) zu ergaunern.“ Die Sophos-Experten seien jedoch in der Lage gewesen, die Angreifer daran zu hindern, Zugang zu jeglichen internen Anwendungen zu erhalten – doch andere Unternehmen hätten vielleicht weniger Glück, den Angriff zu erkennen und abzuwehren.

„Seit Juni 2024 haben die Spezialisten von Sophos eine wachsende Anzahl dieser ,Quishing’-E-Mails registriert, mit stetig ausgefeilteren Graphiken und gefälschtem Docusign-Branding. Es erscheint, dass die Angreifer Vorteile von ,Quishing as a Service’ nutzen und sich eine bekannte Phishing-as-a-service-Plattform zu eigen machen.“

Schnelle Eingreifen kann Unterschied zwischen bloßem Phishing-Versuch und erfolgreichem Cyber-Angriff ausmachen

Andrew Brandt, „Principal Threat Researcher“ bei Sophos, ordnet die Situation wie folgt ein: „Als die QR-Codes während der ,COVID-Pandemie’ populärer wurden, war man zwar besorgt, das Risiko für die meisten Menschen blieb jedoch eher gering. Jetzt sehen wir, wie Angreifer die QR-Codes für gezielte Phishing-Attacken sehr effektiv nutzen.“

QR-Codes seien ungemein flexibel und mit „Quishing“-Bausätzen könnten die Kriminellen ganze Serien gezielter „Quishing“-Massen-E-Mails entwickeln. Brandt warnt: „Und wenn es den Angreifern gelingt, sowohl das Login als auch die Multifaktor-Authentifikation eines Mitarbeiters zu stehlen, haben sie sich in vielen Fällen Zugang zu hoch privilegierten Bereichen verschafft.“

Selbst unter besten Bedingungen und mit gut geschulten Mitarbeitern sei Phishing beziehungsweise „Quishing“ eine zunehmend gefährliche Bedrohung. Mit einem mehrschichtigen Schutz sei es heute allerdings möglich, einen erfolgreichen Phishing-Angriff zu entschärfen. Genauso wichtig sei aber auch eine Unternehmenskultur, „in der die Mitarbeiter ermutigt werden, verdächtige Aktivitäten umgehend zu melden“. Das schnelle Eingreifen könne den Unterschied zwischen einem bloßen Phishing-Versuch und einem erfolgreichen Angriff ausmachen.

Weitere Informationen zum Thema:

SOPHOS NEWS, Amit Panjawani & Andrew Brandt, 16.10.2024
From QR to compromise: The growing “quishing” threat / Attackers leverage QR codes in PDF email attachments to spearphish corporate credentials from mobile devices

datensicherheit.de, 26.03.2024
Quishing: QR-Code-Phishing-Angriffe noch immer eine unterschätzte Gefahr / Schutz gegen QR-Code-Phishing durch phishing-resistente MFA für die Konten

datensicherheit.de, 31.01.2024
Quishing-Update: QR-Code-Routing-Angriffe nehmen zu / Sicherheitsforscher von Check Point haben eine neue QRC-Angriffsart entdeckt

datensicherheit.de, 24.10,2023
Quishing: Zunahme von QR-Code-Phishing / Sicherheitsforscher von Check Point warnen vor neuer Art von Phishing-Angriffen

[datensicherheit.de, 26.03.2024] „Wenn Sie bei Phishing sofort an E-Mails denken, sind Sie nicht allein. Allerdings sind diese nur eine von vielen Möglichkeiten, wie Phishing-Angriffe ablaufen können“, so Alexander Koch, „VP Sales EMEA“ bei Yubico, in seiner aktuellen Stellungnahme zum Thema „Quishing“. Aufgrund der relativ geringen Kosten und der hohen Erfolgsquote nutzten Cyber-Kriminelle diese Betrugsform sehr häufig. Während die meisten Phishing-Angriffe immer noch per E-Mail erfolgten, gebe es seit einiger Zeit bereits auch Betrugsversuche per Textnachricht oder sogar per Telefonanruf. „Aktuell ist jedoch eine neue Art von Phishing-Angriffen zu beobachten, und sie kommt aus einer unerwarteten Quelle: QR-Codes“, warnt Koch.

QR-Code-Phishing nutzt physische oder digitale QR-Codes, um Benutzer auf gefälschte Websites zu locken

QR-Code-Phishing, auch „Quishing“ genannt, nutze physische oder digitale QR-Codes, um Benutzer auf gefälschte Websites zu locken, die darauf abzielten, sensible Informationen zu stehlen oder ein Gerät mit Malware zu infizieren.

Koch erläutert: „Quishing nutzt eine weit verbreitete Technologie, was ein gewisses Grundvertrauen bei den Opfern mit sich bringt.“

Wie bei anderen Arten von Phishing werde genau dieses Vertrauen ausgenutzt, indem die Angreifer entweder neue, physische QR-Codes platzierten, oder gefälschte QR-Codes als Teil eines E-Mail- oder Text-Phishing-Angriffs versendeten.

Quishing-Angriff ähnelt prinzipiell bekannten Phishing-Attacken – nur eben unter Verwendung einer neuen Technologie

Koch beschreibt ein mögliches Gefahren-Szenario: „An der Tür einer Bank ist ein QR-Code angebracht. Wenn der QR-Code gescannt wird, wird der Benutzer aufgefordert, sich bei seinem Bankkonto anzumelden, um beispielsweise an einem Gewinnspiel teilzunehmen. Die legitim wirkende Website, auf die der Nutzer verwiesen wird, ist jedoch in Wirklichkeit betrügerisch, und alle eingegebenen persönlichen Daten und Kontoinformationen sind nun kompromittiert.“

Auch gerade digital sei Quishing schwer zu erkennen und gefährlich. Beispielweise erhalte ein Nutzer eine E-Mail von seinem Lieblingseinzelhändler mit einem QR-Code, um sich vermeintlich für ein neues Treueprogramm anzumelden. „Wenn der Benutzer den Code auf seinem Computerbildschirm scannt, wird er aufgefordert, seine persönlichen Daten einzugeben, einschließlich des Namens, Adresse, Benutzername und Passwort.“ Diese E-Mail enthalte aber ebenfalls einen gefälschten QR-Code und sei ein Phishing-Angriff, der allen anderen Formen von Phishing-Angriffen ähnele, nur eben unter Verwendung einer neuen Technologie. Diese Daten könnten nun verwendet werden, um auf die Website des Einzelhändlers und alle dort gespeicherten Informationen, einschließlich der Kreditkartendaten, zuzugreifen.

„Wenn dieses Passwort auf anderen Websites wiederverwendet wird, was 39 Prozent der Internetnutzer leider immer noch tun, könnte es in weiteren Fällen für Betrug verwendet werden“, betont Koch. Darüber hinaus könnten die persönlichen Daten auf dem Schwarzmarkt verkauft werden, um von Dritten für künftige kriminelle Handlungen genutzt zu werden.

Aktivierung phishing-resistenter MFA zum Schutz gegen QR-Code-Phishing

QR-Codes selbst könnten zwar nicht gekapert werden, aber es sei sehr einfach, einen neuen und betrügerischen QR-Code-Aufkleber über eine legitime Quelle zu legen oder digital über E-Mail an Nutzer heranzutreten. Koch rät: „Es ist daher wichtig zu prüfen, ob die Quelle seriös ist. QR-Codes aus einer unbekannten Quelle sollte nicht vertraut werden. QR-Codes, die per E-Mail zugestellt werden, sollten immer mit äußerster Vorsicht behandelt werden!“

Nutzer sollten, wo immer möglich, Konten mit Multi-Faktor-Authentifizierung (MFA) aktivieren, um den Erfolg von Phishing-Angriffen zu erschweren. Zwar sei jede Form von MFA besser als die Verwendung eines Benutzernamens und eines Passworts, aber nicht jede MFA sei gleich. „Effektiven Schutz bieten phishing-resistente MFA-Optionen wie gerätegebundene Passkeys – also Hardware-Sicherheitsschlüssel“, so Koch.

Abschließend empfiehlt er: „Für Websites, die noch keine phishing-sicheren Methoden unterstützen, sollten Nutzer einen seriösen Passwort-Manager wie ,1Password’ verwenden, um starke Anmeldedaten für jede Website zu erstellen und die Anmeldung auf verschiedenen Geräten zu erleichtern.“

Weitere Informationen zum Thema:

datensicherheit.de, 31.01.2024
Quishing-Update: QR-Code-Routing-Angriffe nehmen zu / Sicherheitsforscher von Check Point haben eine neue QRC-Angriffsart entdeckt

datensicherheit.de, 24.10,2023
Quishing: Zunahme von QR-Code-Phishing / Sicherheitsforscher von Check Point warnen vor neuer Art von Phishing-Angriffen

datensicherheit.de, 06.09.2022
Gefährlicher Trend: HTML-Phishing bei Cyber-Kriminellen zunehmend beliebter / HTML-Anhänge bei Phishing-Attacken häufig so gestaltet, dass sie wie Seiten offizieller Unternehmenswebsites aussehen

[datensicherheit.de, 31.01.2024] Check Point liefert in einer aktuellen Meldung ein Update zum Thema „Quishing“: Demnach wurde eine neue Kampagne entdeckt, bei der QR-Codes so verwendet werden, dass die Phishing-Attacke sich dem Gerät des Nutzers anpasst, um glaubwürdiger zu erscheinen.

Bedrohliche Zunahme an QR-Code-Phishing

„Check Point Research“ (CPR), die „Threat Intelligence“-Abteilung bei der Check Point® Software Technologies Ltd., hatte nach eigenen Angaben bereits festgestellt, dass QR-Code-Phishing (sogenanntes Quishing) als Betrugsversuch zwischen August und September 2023 um 587 Prozent in der Häufigkeit gestiegen ist.

Bedrohung durch verseuchten QR-Code

Nun legten die Hacker nach: Die Attacken funktionierten nun als bedingtes Routing, wodurch sie sich automatisch an das Gerät des Nutzers, seinen Browser und die Bildschirmgröße anpassten. Zugrunde liege indes die alte Quishing-Technik, nämlich ein verseuchter Code. Im kürzlich entdeckten Fall sollten die Anwender eine Beitragsübersicht prüfen und dafür den QR-Code mit dem angeblichen Link einlesen.

QR-Codes nicht blind vertrauen!

Angesichts der Tatsache, dass seit Jahren die meisten Cyber-Attacken mit Phishing als Vorhut beginnen, sollten Privat-Anwender laut Check Point künftig sehr genau hinschauen, welchen QR-Code sie scannen, während Unternehmen auf jeden Fall eine Sicherheitsarchitektur benötigten, „die auch QR-Codes prüfen kann und dabei Maschinenlernen und Künstliche Intelligenz zur Analyse einsetzt“.

Weitere Informationen zum Thema:

CHECK POINT, Jeremy Fuchs, 23.01.2024
Conditional QR Code Routing Attacks

[datensicherheit.de, 24.10,2023] Die Check Point® Software Technologies Ltd. warnt in einer Stellungnahme vor einer neue Variante des Phishings – vor sogenanntem Quishing (QR-Code-Phishing). Eigentlich harmlose QR-Codes eignen sich demnach hervorragend, um bösartige Absichten zu verschleiern: „Hinter einem üblichen QR-Code-Bild kann sich ein schädlicher Link verbergen, was kaum ersichtlich ist.“ Da Anwender daran gewöhnt seien, QR-Codes zu scannen, werde ein solcher Code in einer E-Mail oft nicht als Bedrohung erkannt.

QR-Code-Phishing, um Zugangsdaten zu stehlen

Aus diesem Grund raten die Sicherheitsforscher, „sehr genau auf den Absender zu achten, wenn eine E-Mail einen QR-Code enthält“. Im Zweifelsfall sollte man lieber die jeweilige Website direkt aufrufen.

Bei einem entdeckten Angriff hätten die Hacker einen QR-Code erstellt, „der zu einer Seite führt, auf der Anmeldeinformationen gesammelt werden“. Der angebliche Grund sei, dass die Microsoft-Multi-Faktor-Authentifizierung ablaufe und man sich deshalb erneut authentifizieren solle.

Entgegen der Behauptung des Textes, von Microsoft Security zu stammen, gehöre die Absenderadresse einer anderen Quelle. „Sobald der Benutzer den QR-Code scannt, wird er auf eine Seite geleitet, die wie die Website von Microsoft aussieht, aber in Wirklichkeit nur dazu dient, seine Zugangsdaten zu stehlen.“

Bekämpfung von QR-Code-Phishing-Angriffen als Herausforderung

Der Angriff funktioniert laut Check Point folgendermaßen: „Ein Bild mit dem Text wird erstellt, um einige Sprachanalyse-Tools zu umgehen.“ Als Gegenmaßnahme komme oft eine optische Zeichenerkennung (OCR) zum Einsatz (OCR wandelt Bilder in Text um, um ihn lesbar zu machen).

Die Hacker hätten jedoch eine andere Möglichkeit gefunden, dies zu umgehen, nämlich einen QR-Code. Diese Angriffe zu bekämpfen, sei komplizierter. Die OCR müsse in eine Funktion zur QR-Code-Erkennung integriert, in die URL übersetzt und durch URL-Analysetools analysiert werden.

Man könne zwar nicht immer wissen, in welche Richtung die Hacker als nächstes gehen werden. Allerdings verfügten die Verteidiger über grundlegende Werkzeuge, um diese zu bekämpfen, wie die Befolgung des Inline-Verschlüsselungsverfahrens sowie das Umhüllen von URLs und Emulations-Tools oder die Öffnungsverschlüsselung.