FBI waarschuwt voor phishing via QR-codes

Quishing

Het betreft e-mails met onder meer verwijzingen naar zogenaamde vragenlijsten, secure drives en Google-inlogpagina’s. Bij deze QR-phishing, oftewel quishing, schakelen de slachtoffers over van hun beveiligde workstation naar een smartphone; ze ontvangen de phishingmail weliswaar op hun werkcomputer maar scannen de QR-code vervolgens met een smartphone.

Redirectors

Bij het doorsturen naar specifiek opgezette phishingpagina gaan de doelwitten eerst langs redirectors die allerlei informatie over het apparaat vergaren. Daarbij gaat het bijvoorbeeld om user-agenten, besturingssystemen, IP-adressen, taalinstellingen en schermgroottes. Met deze informatie wordt vervolgens een, speciaal voor smartphones geoptimaliseerde, phishingpagina getoond. Deze vertoont veel overeenkomsten met inlogpagina’s van Microsoft 365, Okta of een VPN-portaal.

Trainen van personeel

De FBI beschouwt quishing als een high-confidence, MFA-resilient identity intrusion vector. Organisaties krijgen onder meer het advies een meerlaagse beveiligingsstrategie toe te passen om de dreiging van phishing via QR-codes tegen te gaan. Ook roept de inlichtingendienst organisaties op om personeel te trainen om dergelijke aanvallen te voorkomen.