News
"Quishing" - Phishing per QR-Code
Mit gut gefälschten E-Mails versuchen Kriminelle, Mittels Phishing an persönliche Daten von Verbrauchern zu gelangen und diese für ihre Zwecke zu missbrauchen.
Dank guter Virenscanner und Spam-Filter sind Anwendende heutzutage gut gegen klassisches Phishing geschützt, doch die Cyberkriminellen schlafen nicht und suchen immer neue Methoden, um diese Sicherheitsvorkehrungen zu umgehen.
Eine neue ist das Quishing – Phishing mit QR-Codes.
Das gefährliche: Anhänge und URLs in Mails werden von den Sicherheitsprogrammen überprüft und bei Gefahr ausgesondert; QR-Codes arbeiten jedoch visuell, also als Bild, und werden von den Spam-Filtern und Virenscannern nicht bemerkt. Der QR-Code wird als harmlose Bilddatei wahrgenommen und landet quasi unter dem Sicherheitsradar direkt im Postfach ihrer Opfer.
In den Mails wird – wie beim Phishing üblich – behauptet, es läge ein Sicherheitsproblem vor und Nutzende müssten nun aktiv werden. Alternativ behaupten die Betrüger, dass ihre Opfer ein Dokument bräuchten, welches hinter dem QR-Code versteckt sei. In jedem Fall werden die Opfer aufgefordert, einen QR-Code mit dem Smartphone zu scannen. Folgen sie dieser Aufforderung, werden sie mit dem Smartphone auf gefälschte Websites weitergeleitet. Und hier können unterschiedliche Dinge passieren: entweder laden Nutzende Dokumente herunter, die mit Malware verseucht sind, oder sie geben Login-Daten ein, die direkt an die Betrüger weitergeleitet werden.
Eine erhöhte Glaubwürdigkeit erhält diese Quishing-Kampagne außerdem dadurch, dass die E-Mails von Accounts realer Mitarbeitender von realen Unternehmen versendet werden. Aktuell versuchen Cyberkriminelle, Nutzerdaten für den Cloud-Service Microsoft 365 zu erbeuten. Die ursprüngliche Masche, eine E-Mail mit einer URL, die angeklickt werden sollte, erkannten die gängigen Antivirenprogramme schnell. Dieser Link wurde nun durch einen QR-Code ersetzt, den die Sicherheitslösungen als harmlose Bilddatei erkennen. Folgt ein Opfer dem QR-Code, wird es auf eine täuschend echt aussehende Fälschung der Microsoft 365-Login-Seite geleitet. Hier sollen Opfer ihre Nutzerdaten eingeben, um die Voicemail, die in der E-Mail angesprochen wurde, abhören zu können. Folgen sie dieser Anweisung, fallen die Daten den Kriminellen in die Hände.
Wie können sich Organisationen vor Quishing schützen?
IT-Sicherheitsexperten haben vier Tipps parat:
✔️ Sorgfältig prüfen, ob es sich um eine Fälschung handeln könnte. Erscheint eine Nachricht verdächtig, sollten weder Anhänge geöffnet noch Links geklickt oder QR-Codes gescannt werden. Hinweise auf gefälschte Nachrichten geben eine seltsame Absendeadresse, Rechtschreibfehler oder eine unübliche Anrede.
✔️ Den Absendenden im Zweifelsfall über offizielle Kanäle kontaktieren, um sich zu vergewissern, ob die Nachricht tatsächlich von diesem stammt. Grundsätzlich ist Multi-Faktor-Authentifizierung ein weiterer wirksamer Schutz vor allen Formen des Phishings. Denn selbst wenn Kriminelle Zugangsdaten in Erfahrung bringen, fehlt ihnen der zweite (oder dritte) Faktor zum Einloggen.
✔️ Die Sicherheitsrichtlinie eines Unternehmens sollte zwingend auch Smartphones einschließen. Oftmals existieren für Rechner und Notebooks recht strenge Sicherheitsvorkehrungen, aber kaum für Firmentelefone. Hier muss umgedacht werden.
✔️ Die Weiterbildung aller Beschäftigten bietet den besten Schutz vor Quishing. Denn nur, wenn Gefahren als solche auch bekannt sind und erkannt werden, können Mitarbeitende entsprechend handeln.
Übrigens, unser QR-Code leitet euch natürlich nicht auf eine gefälschte Webseite 😉
Gerne dürft Ihr euch bei Fragen bei uns melden. 💡
https://www.comfor-it.de/
Dank guter Virenscanner und Spam-Filter sind Anwendende heutzutage gut gegen klassisches Phishing geschützt, doch die Cyberkriminellen schlafen nicht und suchen immer neue Methoden, um diese Sicherheitsvorkehrungen zu umgehen.
Eine neue ist das Quishing – Phishing mit QR-Codes.
Das gefährliche: Anhänge und URLs in Mails werden von den Sicherheitsprogrammen überprüft und bei Gefahr ausgesondert; QR-Codes arbeiten jedoch visuell, also als Bild, und werden von den Spam-Filtern und Virenscannern nicht bemerkt. Der QR-Code wird als harmlose Bilddatei wahrgenommen und landet quasi unter dem Sicherheitsradar direkt im Postfach ihrer Opfer.
In den Mails wird – wie beim Phishing üblich – behauptet, es läge ein Sicherheitsproblem vor und Nutzende müssten nun aktiv werden. Alternativ behaupten die Betrüger, dass ihre Opfer ein Dokument bräuchten, welches hinter dem QR-Code versteckt sei. In jedem Fall werden die Opfer aufgefordert, einen QR-Code mit dem Smartphone zu scannen. Folgen sie dieser Aufforderung, werden sie mit dem Smartphone auf gefälschte Websites weitergeleitet. Und hier können unterschiedliche Dinge passieren: entweder laden Nutzende Dokumente herunter, die mit Malware verseucht sind, oder sie geben Login-Daten ein, die direkt an die Betrüger weitergeleitet werden.
Eine erhöhte Glaubwürdigkeit erhält diese Quishing-Kampagne außerdem dadurch, dass die E-Mails von Accounts realer Mitarbeitender von realen Unternehmen versendet werden. Aktuell versuchen Cyberkriminelle, Nutzerdaten für den Cloud-Service Microsoft 365 zu erbeuten. Die ursprüngliche Masche, eine E-Mail mit einer URL, die angeklickt werden sollte, erkannten die gängigen Antivirenprogramme schnell. Dieser Link wurde nun durch einen QR-Code ersetzt, den die Sicherheitslösungen als harmlose Bilddatei erkennen. Folgt ein Opfer dem QR-Code, wird es auf eine täuschend echt aussehende Fälschung der Microsoft 365-Login-Seite geleitet. Hier sollen Opfer ihre Nutzerdaten eingeben, um die Voicemail, die in der E-Mail angesprochen wurde, abhören zu können. Folgen sie dieser Anweisung, fallen die Daten den Kriminellen in die Hände.
Wie können sich Organisationen vor Quishing schützen?
IT-Sicherheitsexperten haben vier Tipps parat:
✔️ Sorgfältig prüfen, ob es sich um eine Fälschung handeln könnte. Erscheint eine Nachricht verdächtig, sollten weder Anhänge geöffnet noch Links geklickt oder QR-Codes gescannt werden. Hinweise auf gefälschte Nachrichten geben eine seltsame Absendeadresse, Rechtschreibfehler oder eine unübliche Anrede.
✔️ Den Absendenden im Zweifelsfall über offizielle Kanäle kontaktieren, um sich zu vergewissern, ob die Nachricht tatsächlich von diesem stammt. Grundsätzlich ist Multi-Faktor-Authentifizierung ein weiterer wirksamer Schutz vor allen Formen des Phishings. Denn selbst wenn Kriminelle Zugangsdaten in Erfahrung bringen, fehlt ihnen der zweite (oder dritte) Faktor zum Einloggen.
✔️ Die Sicherheitsrichtlinie eines Unternehmens sollte zwingend auch Smartphones einschließen. Oftmals existieren für Rechner und Notebooks recht strenge Sicherheitsvorkehrungen, aber kaum für Firmentelefone. Hier muss umgedacht werden.
✔️ Die Weiterbildung aller Beschäftigten bietet den besten Schutz vor Quishing. Denn nur, wenn Gefahren als solche auch bekannt sind und erkannt werden, können Mitarbeitende entsprechend handeln.
Übrigens, unser QR-Code leitet euch natürlich nicht auf eine gefälschte Webseite 😉
Gerne dürft Ihr euch bei Fragen bei uns melden. 💡
https://www.comfor-it.de/