Quishing: jak phishing z kodem QR omija zabezpieczenia poczty w Twojej firmie

Wyobraźmy sobie następujący scenariusz: Państwa organizacja wdrożyła najbardziej rygorystyczne bramki bezpieczeństwa poczty e-mail, nowoczesne systemy EDR na każdej stacji roboczej oraz bezwzględne uwierzytelnianie wieloskładnikowe (MFA). Mimo to w poniedziałkowy poranek dane logowania kontrolera finansowego zostają przejęte, a żaden techniczny alert bezpieczeństwa nie wszczyna alarmu. Wektorem ataku nie był złośliwy załącznik wykonywalny ani podejrzany link w treści wiadomości. Był to pojedynczy, czarno-biały kwadrat umieszczony w niepozornym pliku PDF, wzywający do pilnego odnowienia sesji logowania.

Quishing, czyli połączenie kodu QR (Quick Response) i phishingu, stanowi dziś poważne wyzwanie operacyjne dla zespołów bezpieczeństwa i działów IT. Skłaniając ofiarę do zeskanowania kodu za pomocą prywatnego smartfona, cyberprzestępca z łatwością przełamuje cyfrowy perymetr obronny zbudowany przez Dział IT i celowo wyprowadza atak poza strefę monitorowaną przez firmowe narzędzia SOC i SIEM.

Czym jest quishing i dlaczego bez trudu neutralizuje bramki pocztowe?#

W skrócie: Quishing wykorzystuje kod QR do ukrycia złośliwego adresu URL wewnątrz pliku graficznego. Tradycyjne bramki pocztowe (Secure Email Gateway) analizują przede wszystkim tekst jawny, co pozwala zmanipulowanemu kodowi dotrzeć bezpośrednio do skrzynki odbiorczej bez blokady antyspamowej.

W tradycyjnym ataku phishingowym bramka bezpieczeństwa poczty szczegółowo weryfikuje hiperłącza tekstowe, porównuje ich reputację z bazami threat intelligence oraz detonuje załączniki w środowisku piaskownicy (sandbox). W przypadku quishingu mechanizmy te okazują się bezradne. Adres URL nie występuje w e-mailu jako ciąg znaków alfanumerycznych: jest zakodowany graficznie w postaci matrycy pikseli, najczęściej osadzonej w grafice PNG lub zagnieżdżonej w dokumencie PDF.

Aby przechwycić taki wektor, systemy filtrujące musiałyby wykonywać zaawansowane optyczne rozpoznawanie znaków (OCR) oraz dekodować każdy dwuwymiarowy kod graficzny w locie. Tego typu inspekcja wymaga ogromnej mocy obliczeniowej i powoduje zauważalne opóźnienia w dostarczaniu poczty, na co większość środowisk korporacyjnych nie może sobie pozwolić przy masowej korespondencji.

Dodatkowo cyberprzestępcy stale modyfikują strukturę wizualną: zmieniają kontrast, wklejają oficjalne logotypy w centrum kodu QR lub stosują przekierowania warunkowe, które uaktywniają się wyłącznie wtedy, gdy połączenie nawiązywane jest z przeglądarki mobilnej. W efekcie bramka e-mail przepuszcza wiadomość jako całkowicie bezpieczną.

Pułapka cross-device: przejście ze stacji roboczej na prywatny smartfon#

W skrócie: Wymuszenie użycia aparatu w telefonie pozwala ominąć firmowy system EDR na komputerze. Cyberprzestępca przenosi interakcję do środowiska prywatnego pracownika, pozbawionego inspekcji DNS i firmowych reguł sieciowych.

Kluczowe niebezpieczeństwo quishingu tkwi w zmianie kontekstu urządzenia, czyli tak zwanym ataku cross-device. Pracownik zapoznaje się z korespondencją na monitorowanym laptopie służbowym, jednak treść komunikatu wyraźnie instruuje go, by do autoryzacji użył telefonu komórkowego: na przykład w celu synchronizacji aplikacji uwierzytelniającej, zmiany hasła domenowego lub potwierdzenia danych kadrowych.

Gdy pracownik skieruje obiektyw prywatnego smartfona (w modelu BYOD) na ekran komputera:

• Ochrona EDR przestaje działać: prywatny telefon najczęściej nie posiada agentów telemetrycznych ani wdrożonych certyfikatów inspekcji SSL.
• Ruch sieciowy omija zabezpieczenia: połączenie realizowane jest przez sieć 4G/5G operatora telekomunikacyjnego, całkowicie pomijając firmowy serwer proxy, firewall oraz reguły filtrowania DNS.
• Interfejs mobilny utrudnia weryfikację: mobilne przeglądarki automatycznie skracają paski adresowe ze względu na mały ekran, przez co spreparowane domeny (typosquatting) są niemal niedostrzegalne dla użytkownika.

Wektor ten nie ogranicza się wyłącznie do skrzynek pocztowych. Przestępcy coraz częściej przenoszą quishing do przestrzeni fizycznej. Fałszywe naklejki z kodami QR pojawiają się na firmowych stacjach ładowania aut, na rzekomych pismach urzędowych od działu HR, a także w przestrzeniach wspólnych i kuchniach biurowych pod pretekstem logowania do nowych benefitów pracowniczych.

Jak skutecznie zabezpieczyć organizację przed atakami quishingowymi?#

Wobec zagrożenia, które bez problemu omija bariery czysto technologiczne, najtrwalszą linią obrony staje się świadomość pracowników i wyrobione odruchy weryfikacji. Nie można całkowicie zabronić korzystania ze smartfonów, ale można przekształcić automatyczny nawyk skanowania w krytyczną ocenę sytuacji.

Aby zbudować odporność organizacji na quishing, Zarząd i Dział IT powinny wdrożyć zestaw skoordynowanych działań:

• Wprowadzenie jasnej zasady bezpieczeństwa: należy jednoznacznie zapisać w politykach bezpieczeństwa informacji, że wewnętrzne działy (IT, Kadry, Księgowość) nigdy nie wymagają skanowania kodów QR do resetu haseł ani konfiguracji dostępu VPN czy MFA.
• Zabezpieczenie urządzeń mobilnych: w przypadku służbowych telefonów niezbędne jest wdrożenie systemów MDM z funkcją automatycznej inspekcji linków otwieranych za pośrednictwem wbudowanego aparatu fotograficznego.
• Edukacja oparta na realistycznej praktyce: teoretyczne szkolenia e-learningowe nie chronią przed zaawansowaną socjotechniką. Najlepsze rezultaty przynosi konfrontacja zespołów z kontrolowanymi próbami ataków. Dzięki Super Phisher mogą Państwo wdrożyć nowoczesne scenariusze quishingu w bezpiecznych kampaniach symulacyjnych, ucząc pracowników identyfikowania anomalii przed użyciem aparatu.
• Intuicyjny proces zgłaszania incydentów: każdy pracownik musi mieć prostą i szybką ścieżkę raportowania podejrzanych kodów QR, zarówno z poczty elektronicznej, jak i z fizycznych materiałów w biurze.

Nowoczesne cyberbezpieczeństwo nie polega na blokowaniu wygodnych narzędzi technologicznych, lecz na wyposażeniu pracowników w kompetencje, które uniemożliwią wykorzystanie ich jako nieświadomego pomostu do przełamania zasobów firmy.

Chcą Państwo zweryfikować odporność swoich zespołów na współczesne metody socjotechniczne? Prosimy o kontakt i omówienie potrzeb, aby wspólnie zaprojektować program budowania świadomości dopasowany do specyfiki Państwa organizacji.

INTERFEJS I DOŚWIADCZENIE BRAIN SECURITY · Super Phisher

Przeczytaj również: powiązane artykuły i rozwiązania Brain Security#

Powiązane artykuły na ten temat

• Oszustwo na prezesa 2.0: Klonowanie głosu i deepfake wideo na celowniku działów finansowych (Phishing & Social Engineering) : Jak chronić działy finansowe przed oszustwem CEO fraud z użyciem deepfake i vishingu? Procedury weryfikacji, wytyczne KNF i praktyczne szkolenia.
• MFA Fatigue i Push Bombing: Jak ominac uwierzytelnianie dwuskladnikowe bez lamania kodu (Phishing & Social Engineering) : Dowiedz sie, jak dziala atak MFA Fatigue (push bombing) i jak wyksztalcic w zespole nawyki obronne przed falszywymi powiadomieniami autoryzacyjnymi.
• Vishing: Jak cyberprzestępcy manipulują pracownikami i zespołem IT przez telefon (Phishing & Social Engineering) : Poznaj techniki vishingu wymierzone w helpdesk IT i MFA. Dowiedz się, jak chronić organizację i wdrażać skuteczne procedury weryfikacji.
• PCI DSS v4.0 Wymóg 12.6: Skuteczna edukacja antyphishingowa dla CISO (Compliance (NIS 2, DORA, ISO)) : Poznaj wymagania PCI DSS v4.0 (12.6) w zakresie szkoleń cyber, symulacji phishingu i socjotechniki. Praktyczne wskazówki dla CISO w Polsce.

Poznaj rozwiązania Brain Security na naszej stronie

• Powiązane rozwiązanie : Super Phisher : Realistyczne symulacje phishingu (Super Phisher): bezpieczny trening rozpoznawania socjotechniki i zgłaszania incydentów.
• Sprawdź przypadki użycia według celów i branż
• Porównaj nasze formaty budowania świadomości cyber i AI
• Zobacz pełny interaktywny katalog Brain Security
• Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)