Quishing: die Falle im QR-Code

Laut Proofpoint folgt die Methode vier Schritten¹.

• Den Code erstellen. Kostenlose Online-Werkzeuge erzeugen QR-Codes, die auf eine Phishing-Seite oder auf eine Domain mit Schadsoftware verweisen.
• Ihn verbreiten. Der Code steht in einer Phishing-E-Mail, auf einer gefälschten Rechnung, auf einem Plakat, in einer Speisekarte oder ist über einen echten QR-Code geklebt.
• Zur Eile drängen. Die Nachrichten verlangen sofortiges Handeln, zum Beispiel mit »Scan to unlock a discount« oder »Verify your account«.
• Den Scan ausnutzen. Das Opfer landet auf einer gefälschten Anmeldeseite, einem Sammler für Zugangsdaten oder einem Download von Schadsoftware.

MITRE ATT&CK zählt Phishing zu den Techniken für den Erstzugriff. Es beschreibt das Vortäuschen der Absenderidentität, das sowohl den Empfänger als auch automatische Sicherheitswerkzeuge täuschen kann, sowie das »Thread Hijacking« (Übernahme eines Gesprächsverlaufs): Der Angreifer bindet das Ziel in eine bestehende Unterhaltung ein, deren Nachrichten schädliche Dateien oder Links enthalten⁵. Die eingesehene MITRE-Seite erwähnt keine QR-Codes: Diese Tricks gehören zum Phishing im Allgemeinen.

Die typische Nachricht fordert zum Scannen eines Codes auf, oft mit einem dringlichen Grund. Proofpoint nennt »Scan to avoid account suspension« als Beispiel für einen Köder, der auf Dringlichkeit setzt¹. Die Codes treten auch als Warnungen zur »Kontoverifizierung« oder als Versandbenachrichtigungen auf, mit einer Bank, einer Behörde oder einem Lieferanten als scheinbarem Absender¹.

An öffentlichen Orten nennt Proofpoint Speisekarten, Parkautomaten, Plakate in Geschäften und Flyer von Veranstaltungen, mit Versprechen von Rabatten, WLAN-Zugang oder exklusiven Inhalten¹. Im Unternehmen können sich Codes in internen PDFs oder Tabellen verstecken, die sich als Umfragen oder Schulungsunterlagen ausgeben¹.

Ist die Seite einmal geöffnet, nennt die CISA die klassischen Phishing-Anzeichen: dringliche oder emotionale Sprache, die Aufforderung zu persönlichen oder finanziellen Angaben, nicht vertrauenswürdige verkürzte Adressen, fehlerhafte Adressen oder Links wie »amazan.com«². Proofpoint nennt seinerseits »arnazon.com«¹. Die CISA stellt klar, dass das frühere Anzeichen von Rechtschreibfehlern nicht mehr verlässlich ist: Im Zeitalter der künstlichen Intelligenz haben manche E-Mails eine perfekte Grammatik².

Das NCSC warnt, dass keine Schulung es ermöglicht, alle Versuche zu erkennen, und dass die genaue Prüfung jeder einzelnen E-Mail nicht genug Stunden für die eigentliche Arbeit übrig ließe⁴.

Ein QR-Code ist eine maschinenlesbare Matrix, die bis zu 7.089 numerische Zeichen oder URLs enthalten kann und sich mit der Kamera eines Smartphones oder einer Lese-App auslesen lässt. Zu seiner Bauweise gehört eine Fehlerkorrektur, durch die er auch teilweise beschädigt funktioniert¹.

Auf der Abwehrseite beschreibt Proofpoint mehrere Schichten. Analysemodule nutzen Modelle der maschinellen Bildverarbeitung, um QR-Codes in E-Mails zu finden, Adressen zu dekodieren und ihr Risiko zu bewerten. Die Online-Sandbox extrahiert Codes aus Anhängen und simuliert vor der Zustellung den Besuch der Adressen in einer isolierten Umgebung. Laut Microsoft, von Proofpoint zitiert, blockierte diese Prüfung vor der Zustellung 2024 etwa 1,5 Millionen Quishing-Versuche pro Tag¹.

Gegen auf diesen gefälschten Seiten gestohlene Zugangsdaten empfiehlt Proofpoint die Multifaktor-Authentifizierung, gegen gefälschte E-Mails die Protokolle DMARC, SPF und DKIM¹. Das NCSC erklärt, DMARC hindere Phisher daran, die Domain einer Organisation vorzutäuschen, und es brauche mehrere Verteidigungsschichten, statt allein auf das Auge der Nutzer zu setzen, denn manche Angriffe kämen immer durch⁴.

2023: gefälschte Firmenrechnungen

Proofpoint berichtet von einem Angriff aus dem Jahr 2023, der Firmenrechnungen nachahmte. Die Beschäftigten wurden auf gefälschte Zahlungsportale geleitet¹. Die Seite nennt weder das betroffene Unternehmen noch den Urheber des Angriffs.

2024: überklebte Speisekarten

Laut Proofpoint zielte eine Kampagne von 2024 auf Restaurantketten, indem schädliche QR-Codes über gedruckte Speisekarten geklebt wurden. Die Gäste wurden auf Seiten zum Abgreifen von Zugangsdaten umgeleitet, die Treueprogramme nachahmten¹. Auch hier nennt die Quelle keinen Namen der Kette.

Diese beiden Fälle stammen aus einer einzigen kommerziellen Quelle, die keine Opferzahlen nennt. Das britische NCSC hat außerdem am 8. Februar 2024 einen Beitrag mit dem Titel »QR Codes - what's the real risk?« veröffentlicht, von dem die eingesehene Seite nur den Titel und einen Anreißersatz wiedergibt³.