Theo Techtarget, quishing, hay còn gọi là lừa đảo qua mã QR, là một hình thức tấn công lừa đảo (phishing) trong đó kẻ tấn công sử dụng mã QR để lừa người dùng truy cập vào các trang web giả mạo hoặc tải xuống nội dung độc hại. Mục tiêu của cuộc tấn công này là đánh cắp thông tin nhạy cảm, chẳng hạn như mật khẩu, dữ liệu tài chính hoặc thông tin nhận dạng cá nhân (PII), và sử dụng thông tin đó cho các mục đích khác, chẳng hạn như đánh cắp danh tính, gian lận tài chính hoặc ransomware.
Mã QR (Quick Response) được phát minh vào năm 1994 tại Nhật Bản bởi công ty Denso Wave để hỗ trợ trong việc dán nhãn các bộ phận ô tô. Chúng là các hình ảnh được mã hóa, bao gồm các ô vuông đen trắng, được giải mã bằng phương pháp sửa lỗi Reed-Solomon.
Không giống như mã vạch một chiều, chỉ có thể được quét từ trên xuống dưới, mã QR có thể được quét từ trên xuống dưới và từ trái sang phải. Ngày nay, các mã này được thiết kế và gửi để hướng người dùng đến một URL, hỗ trợ trong việc gửi email hoặc tin nhắn văn bản và hiển thị một thông điệp cho người nhận.
Việc áp dụng mã QR bắt đầu từ năm 1997, tuy nhiên, việc sử dụng chúng tăng dần trong thập kỷ qua và bùng nổ gần đây, đặc biệt sau đại dịch. Chính sự phổ biến này lại tạo điều kiện cho tin tặc lợi dụng. Nếu mã QR bị thay thế bằng một mã giả mạo, người quét có thể vô tình bị chuyển đến một trang web lừa đảo, nơi thông tin cá nhân hoặc tài khoản ngân hàng bị đánh cắp chỉ trong vài giây.
Theo Hoxhunt, các phương thức mà kẻ lừa đảo sử dụng mã QR trong các cuộc tấn công lừa đảo như sau:
Nhúng liên kết độc hại
Kẻ tấn công tạo mã QR dẫn người dùng đến các trang web độc hại được thiết kế để đánh cắp thông tin, chẳng hạn như thông tin đăng nhập, số thẻ tín dụng hoặc dữ liệu cá nhân khác.
Ví dụ: Một nhân viên có thể nhận được email giả mạo từ bộ phận nhân sự, cung cấp liên kết đến cổng thông tin phúc lợi mới. Khi quét mã QR trong email, họ bị chuyển hướng đến trang đăng nhập giả mạo thu thập thông tin đăng nhập của họ.
Ngụy trang phần mềm độc hại
Mã QR có thể được sử dụng để khởi tạo việc tải xuống phần mềm độc hại vào thiết bị di động của người dùng. Phần mềm độc hại này sau đó có thể được sử dụng để đánh cắp dữ liệu, giám sát hoạt động hoặc gây hại khác.
Ví dụ: Một mã QR trên tờ rơi trong văn phòng tuyên bố cung cấp ứng dụng miễn phí để cải thiện năng suất. Khi quét mã, người dùng được yêu cầu tải xuống phần mềm độc hại có thể giám sát hoạt động của nhân viên hoặc truy cập dữ liệu công ty.
Cổng thanh toán giả mạo
Kẻ lừa đảo có thể sử dụng mã QR để chuyển hướng nạn nhân đến các cổng thanh toán giả mạo, nơi họ bị lừa nhập thông tin thanh toán.
Ví dụ: Một nhân viên nhận được email giả mạo từ nhà cung cấp đáng tin cậy với hóa đơn đính kèm và mã QR để thanh toán nhanh. Khi quét mã, họ bị chuyển đến trang thanh toán giả mạo thu thập thông tin tài chính của họ.
Theo đó, để bảo vệ bản thân khỏi các cuộc tấn công quishing, người có thể áp dụng các biện pháp sau:
Xác minh nguồn gốc mã QR: Chỉ quét mã QR từ các nguồn đáng tin cậy, như các doanh nghiệp uy tín hoặc các tổ chức chính thống. Tránh quét mã QR từ email hoặc tin nhắn không rõ nguồn gốc hoặc từ người lạ.
Kiểm tra trước địa chỉ URL: Trước khi truy cập trang web thông qua mã QR, hãy xem trước địa chỉ URL. Nếu URL đã được rút ngắn hoặc không rõ ràng, tốt nhất nên tránh truy cập.
Hạn chế sử dụng mã QR để thanh toán: Nếu có thể, tránh thực hiện thanh toán qua mã QR, đặc biệt khi mã được dán ở nơi công cộng. Nếu liên kết thanh toán dẫn đến một trang web không rõ ràng hoặc không thuộc ngân hàng/ứng dụng chính thức, hãy dừng lại ngay.
Không quét mã QR ngẫu nhiên ở nơi công cộng: Tránh quét các mã QR xuất hiện trên biển quảng cáo, tờ rơi hoặc dán trên máy thanh toán, vì chúng có thể đã bị thay thế bằng mã độc hại. Nếu cần quét mã QR từ các địa điểm công cộng, hãy hỏi nhân viên để xác nhận mã đó là hợp pháp.
Sử dụng trình quét mã QR an toàn: Ưu tiên sử dụng trình quét mã QR mặc định đi kèm với điện thoại (ví dụ: camera trên iOS và Android). Hạn chế tải ứng dụng quét mã QR từ bên thứ ba, vì nhiều ứng dụng này có thể thu thập dữ liệu hoặc chứa mã độc.
Kiểm tra kỹ mã QR vật lý trước khi quét: Quan sát kỹ mã QR sắp quét, nếu có dấu hiệu bị dán đè lên, chỉnh sửa hoặc trông không đồng nhất với thiết kế xung quanh, hãy tránh xa. Nếu thấy một nhãn dán mã QR trên máy thanh toán hoặc tại địa điểm công cộng, hãy kiểm tra xem có dấu hiệu bị thay thế hay không và hỏi nhân viên để xác minh.
