Что такое «квишинг» (QR Code -фишинг)?

Сканирование QR-кода ( QR Code ) стало таким же обычным делом, как и переход по ссылке. Люди используют QR-коды ( QR Codes ) для оплаты счетов, доступа к услугам и обмена информацией, и этот процесс обычно занимает всего несколько секунд. Однако одно сканирование иногда может привести к попаданию на поддельный сайт, созданный с целью кражи данных. Именно в этом заключается суть атак типа «квишинг».

«Квишинг» — это разновидность фишинга, при которой используются ссылки QR Codes, чтобы заманить пользователей на мошеннические сайты. Такие мошеннические схемы часто нацелены на получение учетных данных для входа, платежной информации и данных корпоративных учетных записей.

В этом руководстве рассказывается, как работает квишинг, почему злоумышленники его используют и какие группы подвергаются наибольшему риску. Вы также найдете практические советы по предотвращению распространенных мошеннических схем и узнаете, как квишинг вписывается в более широкую дискуссию о безопасности QR Codes .

Что такое «квишинг»?

«Квишинг» — это разновидность фишинговой атаки, при которой вредоносный URL-адрес скрывается в изображении формата QR Code, а не в текстовой ссылке, по которой можно перейти. Название представляет собой слияние слов QR Code и «phishing», а цель такая же, как и у любой фишинговой атаки: перенаправить вас на поддельный сайт, чтобы злоумышленники могли похитить ваши учетные данные, установить вредоносное ПО или собрать ваши платежные данные.

Отличительной особенностью «квишинга» является способ доставки. Вредоносный URL-адрес встраивается в изображение QR Code, которое считывается камерой вашего телефона. Он не находится в тексте электронного письма, где его могут просканировать фильтры безопасности.

По данным Keepnet, в 2023 году количество атак типа «quishing» увеличилось на 587%, что сделало фишинг с использованием QR Code одной из самых быстрорастущих фишинговых техник, применяемых сегодня.

«Квишинг» относится к семейству фишинга наряду с тремя другими связанными типами атак.

Приведенная выше таблица важна, поскольку «квишинг» использует уязвимость, на которую многие традиционные средства защиты от фишинга изначально не были рассчитаны. Вместо того чтобы просить жертв перейти по видимой ссылке, злоумышленники скрывают адрес назначения внутри изображения QR Code. Во многих случаях сканирование затем происходит на отдельном мобильном устройстве, вне зоны действия средств безопасности, которые обычно проверяют веб-трафик.

Атаки типа «квишинг» чаще всего происходят через два канала.

1. Первый способ — электронная почта, когда злоумышленник встраивает QR Code в сообщение, вложение или PDF-файл и побуждает получателя отсканировать его. 
2. Второй вариант — реальный мир, где поддельная наклейка QR Code наклеивается поверх подлинной на парковочном счетчике, столике в кафе, киоске в вестибюле или общественной доске объявлений. Оба подхода основаны на одном и том же поведении: сканировании кода без предварительной проверки, куда он ведет.

Кивинг в цифрах: как быстро растет эта угроза

Рост числа атак типа «квишинг» — это не будущая угроза. Это уже происходит в широких масштабах. Согласно анализу Keepnet Labs, в 2023 году количество атак типа «квишинг» выросло на 587%, что сделало фишинг с использованием кодов QR Code одной из самых быстрорастущих киберугроз последних лет.

Ряд других статистических данных указывает на ту же тенденцию:

• Только в первом квартале 2025 года было обнаружено 4,2 миллиона угроз, связанных с QR Code.
• 89,3 % атак, основанных на уязвимости QR Code, были направлены на кражу учетных данных.
• Число атак типа «квишинг», направленных на руководителей высшего звена, превысило число атак на рядовых сотрудников в 42 раза.
• 26 % вредоносных ссылок, рассылаемых по электронной почте, были встроены в адрес QR Codes, а не представлены в виде традиционных гиперссылок.
• Компания Microsoft сообщает, что в среднем каждую неделю блокирует более 18 миллионов уникальных фишинговых писем, содержащих ссылку QR Code в тексте письма, а также около 3 миллионов уникальных фишинговых писем с адресом QR Code в день.

Данные также раскрывают, как действуют злоумышленники. Почти 9 из 10 атак типа QR Code направлены на кражу учетных данных, часто путем перенаправления жертв на поддельные страницы входа, имитирующие надежные бренды и бизнес-инструменты. Согласно отчету Abnormal Security «Email Threat Report» за первое полугодие 2024 года, руководители являются предпочтительной мишенью, поскольку они имеют доступ к конфиденциальным системам, полномочиям по утверждению финансовых операций и данным компании.

По данным компании NordVPN, специализирующейся на кибербезопасности, 73 % американцев сканируют QR-коды QR Codes без проверки, и более 26 миллионов человек уже были перенаправлены на вредоносные сайты. Скрывая адрес назначения внутри изображения, злоумышленники могут побудить жертв переключиться с контролируемого рабочего устройства на личный телефон, где меры безопасности могут быть менее строгими.

Рост популярности «квишинга» тесно связан с ростом использования технологии QR Code. Бесконтактные меню, мобильные платежи, регистрация на мероприятиях и процедуры аутентификации сделали сканирование QR Code неотъемлемой частью повседневной жизни. По мере того как сканирование стало привычным и надежным действием, злоумышленники обрели новый способ проведения фишинговых кампаний, не полагаясь на традиционные ссылки.

Как работает атака квишинг

Атака типа «квишинг» проходит в шесть этапов. Критическая уязвимость в системе безопасности возникает между третьим и четвёртым этапами.

Шаг 1: Злоумышленник генерирует вредоносный QR Code

Злоумышленник создает URL-адрес QR Code, который ведет на вредоносный URL. Часто это сайт для сбора учетных данных, страница загрузки вредоносного ПО или поддельный платежный портал. На этом этапе злоумышленники могут использовать динамические URL-адреса QR Codes. Динамический URL QR Code хранит адрес назначения на сервере, а не в самом коде. Теперь злоумышленник может менять URL-адрес назначения после распространения, чтобы опережать черные списки URL-адресов.

Шаг 2: Вставьте код QR Code в приманку

Злоумышленник вставляет изображение QR Code в формате PNG или JPG в фишинговое электронное письмо. В более изощрённом варианте код встраивается в вложение в формате PDF, например в счёт-фактуру, кадровый документ или уведомление о соблюдении нормативных требований. Изображения, встроенные в PDF-файлы, подвергаются ещё меньшему контролю со стороны автоматических сканеров.

Шаг 3: Электронное письмо проходит корпоративные фильтры безопасности

Жертва получает электронное письмо на корпоративном ноутбуке или устройстве. Стандартные средства защиты электронной почты сканируют текст сообщения на наличие известных вредоносных URL-адресов, подозрительных текстовых ссылок и доменов, находящихся в черном списке. Ссылка QR Code представляет собой изображение. Вредоносный URL-адрес, содержащийся внутри изображения, невидим для фильтров, анализирующих текст. Письмо попадает в папку «Входящие».

Шаг 4: Жертва сканирует код с помощью личного мобильного телефона

В электронном письме получателю предлагается отсканировать код с помощью телефона. В качестве приманки может использоваться утверждение о том, что ссылка более удобна для просмотра на мобильном устройстве, либо сообщение имитирует процедуру сброса пароля в рамках многофакторной аутентификации (MFA), для которой требуется телефон. Жертва берет свое личное устройство и сканирует код.

Шаг 5: В мобильном браузере открывается фишинговая страница

Личный мобильный телефон находится за пределами корпоративного периметра безопасности. На большинстве личных устройств отсутствует программное обеспечение для управления мобильными устройствами (MDM). Корпоративная виртуальная частная сеть (VPN) неактивна. Браузер переходит по декодированному URL-адресу и отображает страницу злоумышленника.

Шаг 6: Похищение учетных данных или установка вредоносного ПО

Жертва вводит учетные данные на поддельной странице входа, совершает фиктивный платеж или загружает приложение, которое, как кажется, необходимо. Злоумышленник перехватывает данные.

«Смена устройства» — то есть переход с корпоративного устройства на личный мобильный телефон между третьим и четвёртым этапами — является структурной причиной, по которой «квишинг» работает там, где стандартный фишинг терпит неудачу. Атака использует два отдельных периметра безопасности, и ни один из них не охватывает всю цепочку.

Почему Quishing обходит традиционные системы безопасности электронной почты

Большинство фишинговых писем содержат кликабельную ссылку. Средства безопасности могут проанализировать эту ссылку, проверить её репутацию и заблокировать, если она выглядит подозрительно. Quishing работает иначе. Вместо того чтобы размещать ссылку в тексте письма, злоумышленники скрывают её внутри файла QR Code.

Вот три причины, по которым «квишинг» может быть сложнее обнаружить, чем традиционный фишинг.

1. Вредоносный URL-адрес скрыт внутри изображения

Инструменты обеспечения безопасности электронной почты предназначены для сканирования текста, ссылок и доменов. QR-код ( QR Code ) представляет собой изображение, поэтому URL-адрес назначения может отсутствовать в видимом тексте письма.

Поставщики решений для обеспечения безопасности теперь используют анализ изображений для обнаружения этих угроз. Например, Microsoft сообщает о блокировке примерно 1,5 миллиона атак типа QR Code в день. Однако не все инструменты обеспечения безопасности электронной почты обладают одинаковым уровнем обнаружения атак типа QR Code.

2. Сканирование часто происходит на другом устройстве

Многие люди сканируют ссылку QR Codes с помощью своих телефонов, даже если письмо приходит на рабочий компьютер.

Когда сотрудник нажимает на ссылку на служебном ноутбуке, средства безопасности часто могут проверять и отслеживать эту активность. Но когда тот же человек сканирует QR-код ( QR Code ) с помощью личного телефона, посещение сайта может происходить вне рамок обычных мер безопасности организации. Это дает злоумышленникам еще один путь для достижения своей цели.

3. Злоумышленники могут изменить место назначения ссылки QR Code

В некоторых кампаниях по фишингу используются динамические URL-адреса QR Codes. Динамический URL-адрес QR Code указывает на целевую страницу, которая может быть обновлена позже. Это позволяет злоумышленникам изменять конечный URL-адрес после того, как фишинговый URL-адрес QR Code уже был отправлен. В некоторых случаях они могут сначала использовать безобидную целевую страницу, а позже переключиться на вредоносную, что затрудняет обнаружение.

Результат прост: фишинговое письмо, содержащее видимую вредоносную ссылку, зачастую легче проанализировать средствам безопасности. Ссылка QR Code скрывает конечный адрес за изображением и добавляет дополнительные шаги между жертвой и вредоносным сайтом.

Примеры использования QR-кодов в реальной жизни

Атаки типа «квишинг» могут возникать везде, где люди используют QR Codes. Некоторые из них поступают по электронной почте, а другие появляются на вывесках, плакатах и терминалах оплаты в общественных местах. Приведенные ниже примеры показывают, как злоумышленники используют QR Codes, чтобы скрыть вредоносные сайты за простым сканированием.

Мошенничество с парковочными счетчиками в Остине (2022)

В 2022 году мошенники разместили поддельные наклейки с кодом QR Code на 29 парковочных счетчиках в Остине, штат Техас. Водители сканировали коды, чтобы оплатить парковку, но ссылка QR Codes вела на мошеннический сайт для оплаты. Любой, кто вводил свои платежные данные, рисковал передать эту информацию непосредственно мошенникам.

Атака удалась, потому что поддельные наклейки выглядели достоверно. У большинства водителей не было оснований подозревать, что оригинальная наклейка QR Codes была заменена.

Мошенничество с подтверждением учетной записи Microsoft 365

Многие фишинговые письма выдают себя за Microsoft 365. В сообщении может утверждаться, что срок действия вашего пароля истекает, ваша учетная запись требует подтверждения или необходимо обновить настройки многофакторной аутентификации (MFA).

Вместо ссылки в письме содержится просьба отсканировать код QR Code. После этого по адресу QR Code открывается поддельная страница входа в систему Microsoft, предназначенная для кражи логинов и паролей. В некоторых кампаниях также предпринимаются попытки перехватить информацию о сеансе, которая помогает злоумышленникам получить доступ к учетным записям.

Поскольку вредоносный URL-адрес скрыт внутри ссылки QR Code, на первый взгляд это письмо может показаться более безопасным, чем традиционное фишинговое сообщение.

Мошенничество с счетами и платежами

Еще одной распространенной целью являются компании. В ходе таких атак мошенники рассылают электронные письма, которые выглядят как счета, запросы на оплату или выписки со счетов от надежного поставщика.

В электронном письме содержится поддельный URL-адрес QR Code, который якобы ведет к платежным реквизитам или сопроводительным документам. После сканирования ссылки QR Code жертва попадает на поддельный сайт, где ей предлагается ввести платежную информацию, банковские реквизиты или учетные данные. Цель — похищение денежных средств, конфиденциальной информации или получения доступа к корпоративным системам.

Общей темой всех этих атак является доверие. Люди ожидают, что парковочные счетчики, страницы входа в систему Microsoft и счета-фактуры поставщиков будут подлинными. Злоумышленники эксплуатируют это доверие, скрывая вредоносные сайты за доменом QR Codes. Атаки с использованием физических наклеек особенно эффективны, поскольку поддельная наклейка QR Code может незаметно вписаться в вполне легитимный знак, меню, киоск или терминал оплаты.

Проблема для пользователей заключается в том, чтобы понять, безопасен ли URL-адрес QR Code, прежде чем его отсканировать. Чтобы понять эту разницу, сначала нужно узнать, безопасны ли URL-адреса QR Codes и какие меры можно принять для проверки целевой страницы перед её открытием.

На кого обычно направлены атаки типа «квишинг»?

Злоумышленники не нацелены на всех в равной степени. Они сосредоточиваются на отраслях, связанных с обращением денежных средств, конфиденциальной информацией или большим объемом документов. Они также нацелены на сотрудников, в чьи должностные обязанности входит утверждение платежей, управление счетами или рассмотрение запросов.

Отрасли, подверженные атакам типа квишинг

Эти отрасли объединяет одно: многие сотрудники регулярно работают с счетами, формами, утверждениями и уведомлениями по счетам. Злоумышленники используют эти повседневные рабочие процессы в своих целях, маскируя вредоносные сообщения QR Codes под обычные деловые сообщения.

Роли, на которые чаще всего нацелены атаки типа квишинг

Хотя некоторые отрасли подвержены более высоким рискам, злоумышленники часто нацеливаются на конкретных сотрудников, имеющих доступ к денежным средствам, конфиденциальным данным или важным бизнес-системам.

Руководители

Руководители высшего звена входят в число наиболее уязвимых целевых групп. По данным Abnormal Security, руководители высшего звена подвергаются атакам типа «квишинг» в 42 раза чаще, чем другие сотрудники. Злоумышленники часто используют срочные запросы, документы на утверждение или уведомления о подтверждении учетной записи, поскольку руководители имеют доступ к конфиденциальной информации и финансовым системам.

Финансовые команды

Сотрудники финансовых отделов часто становятся мишенью мошенников, занимающихся фальсификацией счетов и мошенничеством с платежами. Их работа требует проверки счетов, утверждения платежей и взаимодействия с поставщиками. Злоумышленники знают об этом и часто маскируют вредоносные файлы QR Codes под запросы на оплату или финансовые документы.

ИТ-команды

Сотрудники ИТ-отделов регулярно сталкиваются со сбросом паролей, обновлением многофакторной аутентификации (MFA) и предупреждениями о безопасности. В фишинговых письмах часто копируются эти сообщения и используется ссылка QR Codes, чтобы перенаправить жертв на поддельные страницы входа в систему.

HR-команды

Сотрудники отдела кадров работают с резюме, формами для оформления новых сотрудников, документами о льготах и кадровыми делами. Злоумышленники могут маскировать фишинговые письма под документы по найму или запросы сотрудников, чтобы получить доступ к системам компании.

Персонал на передовой и полевые сотрудники

Сотрудники складов, заводов, розничных магазинов и других физических объектов подвергаются особому риску. Злоумышленники могут размещать поддельные наклейки QR Code на оборудовании, киосках, вывесках или платежных терминалах, которыми работники пользуются ежедневно.

Общей чертой всех этих целей является доверие. Злоумышленники ищут ситуации, в которых сканирование QR-кода QR Code кажется нормальным. Чем привычнее рабочий процесс, тем выше вероятность, что человек сначала отсканирует код, а уже потом задаст вопросы.

Как защитить свою организацию от квишинга

Метод «квишинга» работает потому, что злоумышленники скрывают вредоносные ссылки внутри QR Codes и убеждают людей отсканировать их. Чтобы снизить риск, организациям необходимы средства защиты, охватывающие как безопасность электронной почты, так и безопасность QR Code. В этом могут помочь шесть мер безопасности, приведенных ниже.

1. Используйте инструменты обеспечения безопасности электронной почты, способные проверять QR Codes

Традиционные фильтры электронной почты предназначены для сканирования ссылок и текста. Атаки типа «quishing» скрывают адрес назначения внутри изображения формата QR Code.

Современные средства защиты электронной почты могут декодировать ссылки QR Codes в письмах и вложениях, а затем проверять, безопасен ли сайт назначения. Без этой функции вредоносные ссылки QR Codes могут незаметно проходить через системы безопасности.

Стандарты аутентификации электронной почты, такие как DMARC, SPF и DKIM, по-прежнему важны, но они проверяют только отправителя. Они не проверяют само сообщение QR Code.

2. Усильте защиту учетной записи с помощью многофакторной аутентификации (MFA), устойчивой к фишингу

Многие фишинговые атаки направлены на кражу логинов и паролей. Надежная многофакторная аутентификация (MFA) снижает риск того, что украденный пароль приведет к взлому учетной записи.

По возможности используйте методы защиты от фишинга, такие как ключи безопасности или парольные ключи. Эти методы значительно затрудняют злоумышленникам доступ к учетным записям, даже если сотрудник введет свой пароль на поддельном сайте.

3. Ограничить доступ для взломанных учетных записей

Ни одна система безопасности не является идеальной. Организациям следует исходить из того, что рано или поздно некоторые атаки увенчаются успехом.

Ограничение доступа в зависимости от должностных обязанностей помогает снизить ущерб. Если злоумышленники получат доступ к одной учетной записи, они не должны иметь возможности свободно перемещаться по системам, данным и приложениям.

4. Обучить сотрудников распознавать мошенничество с использованием QR Code

Большинство программ по повышению осведомлённости о безопасности сосредоточены на подозрительных ссылках. Сотрудники также должны узнать, как работает квишинг.

Обучение должно охватывать типичные предупреждающие признаки, такие как неожиданные ссылки QR Codes в электронных письмах, срочные запросы на подтверждение учетной записи, а также наклейки QR Code, наклеенные поверх существующих вывесок или платежных терминалов.

5. Включить quishing в программы по обеспечению безопасности и соблюдению нормативных требований

Федеральные агентства, в том числе Федеральная торговая комиссия (FTC), Федеральное бюро расследований (FBI) и Агентство по кибербезопасности и безопасности инфраструктуры (CISA), выступили с предупреждениями о фишинговых атаках на сайте QR Code.

Организациям следует пересмотреть свои существующие политики безопасности и убедиться, что проблема «квишинга» включена в программы обучения сотрудников, оценки рисков и процедуры реагирования на инциденты. Это особенно важно для отраслей, подпадающих под регулирование, которые уже следуют нормам кибербезопасности и требованиям нормативно-правового соответствия.

6. Разработать план реагирования на инциденты с мобильными устройствами

Многие атаки типа «квишинг» перенаправляют пользователей с рабочего устройства на личный телефон.

Организации должны иметь четкий процесс расследования сообщений о злонамеренных сканированиях QR Code, выявления уязвимых учетных записей, сброса учетных данных и мониторинга подозрительной активности.

«Квишинг» отличается от традиционного фишинга тем, что скрывает вредоносные ссылки внутри сообщений типа QR Codes и часто перенаправляет пользователей с рабочего устройства на личный телефон. Эти тактики могут затруднить обнаружение атак и снизить эффективность средств безопасности, предназначенных для проверки текстовых ссылок и содержимого электронной почты.

По мере того как использование QR Code продолжает расти, организациям необходимо рассматривать «quishing» как отдельный риск для безопасности. Компании, которые сочетают систему защиты электронной почты с учетом угроз QR Code, надежную многофакторную аутентификацию (MFA), обучение сотрудников и четкие процедуры реагирования, лучше подготовлены к предотвращению атак и ограничению ущерба в случае их успешного осуществления.

Контролируйте количество QR-кодов ( QR Codes ), которые создает ваша компания

Не все QR-коды ( QR Codes ) представляют угрозу. Компании ежедневно используют QR-коды ( QR Codes ) для платежей, документов, взаимодействия с клиентами и операционных рабочих процессов. Задача состоит в том, чтобы пользователи могли быть уверены в том, куда ведут эти ссылки ( QR Codes ).

The QR Code Generator (TQRCG) помогает компаниям создавать QR-коды ( QR Codes ), которые можно отслеживать, редактировать и привязывать к проверенным целевым страницам. Это дает организациям более полное представление о том, как используются их QR-коды ( QR Codes ) и куда они направляют пользователей.

TQRCG Также поддерживает требования безопасности enterprise благодаря сертификатам SOC 2 Type 2 и ISO 27001, а также соответствию GDPR. В сочетании с такими функциями, как отслеживание сканирований и управление целевыми URL-адресами, эти меры контроля помогают компаниям обеспечить более высокий уровень безопасности QR Code, одновременно снижая риск неправомерного использования.