Quishing: Sådan omgår QR-kode phishing virksomhedens mailfiltre

Forestil jer følgende scenarie: Jeres organisation har implementeret markedets mest avancerede Secure Email Gateways, en moderne EDR-agent på samtlige endpoints og konsekvent multifaktorgodkendelse. Alligevel oplever I en mandag morgen, at loginoplysningerne for en controller i økonomiafdelingen er kompromitteret uden en eneste teknisk sikkerhedsalarm. Angrebsvektoren var hverken en eksekverbar vedhæftet fil eller et mistænkeligt link i brødteksten. Det var en simpel sort-hvid firkant i en harmløs PDF-fil med en opfordring til at forny en sikker adgang.

Quishing, en sammentrækning af QR-kode og phishing, udgør i dag et alvorligt operationelt problem for CISO'er og IT-sikkerhedsansvarlige. Ved at lokke offeret til at scanne en grafisk kode med sin private smartphone bryder angriberen den etablerede forsvarsperimeter. Angrebet flyttes bevidst uden for IT-afdelingens overvågede infrastruktur.

Hvad er quishing og hvorfor fejler traditionelle mailgateways?#

Kort fortalt: Quishing udnytter QR-koder til at skjule ondsindede URL-adresser i billedfiler. Traditionelle mailgateways analyserer primært rå tekst, hvilket tillader koden at nå direkte frem til indbakken uden at blive blokeret af spamfilteret.

Ved et konventionelt phishingangreb inspicerer jeres Secure Email Gateway links i mailen, slår deres omdømme op mod trusselsdatabaser (Threat Intelligence) og analyserer vedhæftede filer i en sandbox. Ved quishing er truslen usynlig for disse kontrolmekanismer. URL-adressen findes ikke som en læsbar tekststreng i mailen: Den er indlejret grafisk som et mønster af pixels i et PNG-billede eller indlejret i et PDF-dokument.

For at opdage denne vektor skal mailfiltre udføre optisk tegngenkendelse (OCR) eller billedanalyse on-the-fly for at afkode det todimensionelle mønster. Denne proces kræver massive beregningsressourcer og skaber forsinkelser i mailflowet, som de færreste organisationer kan acceptere i praksis.

Samtidig tilpasser de cyberkriminelle deres metoder ved at justere kontrasten, indsætte kendte firmalogoer i midten af koden eller benytte betingede omdirigeringer (conditional redirects), der udelukkende udløses, hvis anmodningen stammer fra en mobilbrowser. Mailgatewayen slipper derfor beskeden igennem som legitim post.

Fælden ved kanalskift: Fra arbejdsstation til privat smartphone#

Kort fortalt: Ved at tvinge brugeren til at scanne koden med mobilkameraet omgår angriberen computerens EDR-beskyttelse og flytter interaktionen til en privat enhed uden virksomhedens DNS-filtrering og netværkskontrol.

Den reelle risiko ved quishing ligger i dette skift af kontekst, ofte omtalt som et cross-device angreb. Mens medarbejderen læser sin mail på en arbejdscomputer beskyttet af strenge sikkerhedspolitikker, opfordrer mailen til at bruge telefonen til at bekræfte handlingen: Det kan være synkronisering af en godkendelsesapp, nulstilling af en adgangskode eller håndtering af en intern HR-opgave.

Så snart medarbejderen retter mobilkameraet på sin private enhed (BYOD) mod skærmen:

• Forsvinder EDR-beskyttelsen: Den private smartphone har som regel hverken telemetri-agenter eller centralt URL-filter installeret.
• Kortsluttes netværkssikkerheden: Trafikken sendes over det mobile 4G- eller 5G-netværk uden om virksomhedens proxyer, firewalls og DNS-blokeringslister.
• Skjuler mobilens brugerflade advarselstegn: Mobilbrowsere afkorter ofte adresselinjen af pladshensyn, hvilket gør falske domæner og typosquatting næsten umulige at gennemskue med det blotte øje.

Vektoren stopper ikke ved digitale indbakker. Metoden observeres i stigende grad i det fysiske miljø. Falske QR-koder klistres på ladestandere på virksomhedens parkeringsplads, vedlægges i fysiske breve angiveligt sendt fra HR, eller hænges op i kantinen under påskud af at give adgang til en ny medarbejderportal. I relation til krav i NIS 2-loven, D-mærket og Datatilsynets fokus på medarbejdersikkerhed udgør disse blinde vinkler en betydelig organisatorisk risiko.

Hvordan beskytter I jeres organisation mod QR-kode phishing?#

Når en trussel omgår de tekniske barrierer, beror det primære forsvar på medarbejdernes kritiske sans og klare procedurer. Man kan sjældent forhindre medarbejdere i at have en smartphone ved hånden, men man kan fjerne den automatiske refleks og skabe sund skepsis.

For at opbygge et modstandsdygtigt forsvar mod quishing anbefales følgende tiltag:

• Fastlæg en klar intern nultolerance: Gør det til en eksplicit regel i sikkerhedspolitikken, at interne funktioner (IT-support, HR, Finans) aldrig beder medarbejdere om at scanne en QR-kode for at nulstille adgangskoder eller konfigurere totrinsgodkendelse.
• Udrul beskyttelse på mobile enheder: Såfremt virksomheden stiller smartphones til rådighed, bør disse administreres via MDM med integreret scanning af links, der åbnes via kameraet.
• Træn med realistiske scenarier: Teoretiske gennemgange ændrer sjældent adfærd over for målrettet social engineering. For at opbygge reelle reflekser skal medarbejderne møde truslerne i praksis. Med Super Phisher kan I simulere moderne quishing-scenarier og lære organisationen at identificere advarselssignalerne, før kameraet aktiveres.
• Etabler en enkel rapporteringsvej: Sørg for, at medarbejderne hurtigt og uden friktion kan anmelde mistænkelige mails eller fysiske skilte til IT-sikkerhedsteamet.

Moderne IT-sikkerhed handler ikke om at forbyde praktiske digitale værktøjer, men om at give hver enkelt medarbejder de rette forudsætninger for ikke at blive den utilsigtede indgangsvinkel til et netværksindbrud.

Ønsker I at vurdere organisationens parathed over for avancerede social engineering-taktikker? Kontakt vores team for en dialog, så vi sammen kan tilrettelægge en træningsindsats afstemt med jeres trusselsbillede.

BRAIN SECURITY I PRAKSIS · Super Phisher

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• CEO-svindel 2.0: Nar stemmekloning og video-deepfakes rammer finansafdelingen (Phishing & Social Engineering) : Beskyt okonomifunktionen mod CEO-fraud via AI-deepfakes og vishing. Se konkrete modforholdsregler, procedurer og praktisk traning for CISO og direktion.
• MFA Fatigue og Push Bombing: Omgå totrinsgodkendelse uden at hacke koden (Phishing & Social Engineering) : Forstå mekanismen bag MFA fatigue (push bombing), og træn dine medarbejdere til at reagere korrekt på mistænkelige godkendelsesanmodninger.
• Vishing: Sådan manipulerer cyberkriminelle jeres medarbejdere og IT-servicedesk over telefonen (Phishing & Social Engineering) : Lær hvordan vishing rammer IT-support og MFA. Styrk organisationens modstandskraft mod social engineering og overhold kravene i NIS2 og D-mærket.
• PCI DSS v4.0 Krav 12.6: Styrk jeres indsats mod phishing og social engineering (Compliance (NIS 2, DORA, ISO)) : Få styr på PCI DSS v4.0 krav 12.6 med målrettet awareness-træning mod phishing og social engineering. Se CISO-anbefalingerne til QSA-audits her.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)