A quishing az adathalászat egyik leggyorsabban növekvő fenyegetésévé vált. Az ötlet egyszerű: egy látszólag ártalmatlan QR-kód elrejt egy hamis címet. A Microsoft számszerűsítette ezt a növekedést: 2026 márciusában 18,7 millió ilyen támadást észlelt , szemben a januári 7,6 millióval, ami 146%-os növekedést jelent mindössze három hónap alatt.
A probléma olyan tevékenységekben rejlik, amelyek a mindennapi rutinunk részévé váltak. Az éttermi étlap átnézése, a parkolásért való fizetés, a jegy letöltése vagy a turisztikai információk keresése mindennapossá vált. A kiberbűnözők ezt az ismerősséget kihasználják. Az Áudea, a Logicalis Spain kiberbiztonsági egységének szakértői hangsúlyozzák, hogy a webcím rejtve marad, amíg a linket meg nem nyitják, így csökkentve azokat a figyelmeztető jeleket, amelyeket a felhasználó első pillantásra észrevehet.
Miért rejti el a QR-kód a megtévesztést, és ugrik át számítógépről mobilra?
Egy szöveges linkkel ellentétben a QR-kód nem jeleníti meg az URL-t a beolvasás előtt. Andrés Cartes Guilarte, az Áudea kiberbiztonsági kulturális tanácsadója rámutat, hogy ez az átlátszatlanság az egyik legnagyobb előny a támadók számára. A felhasználó nem tudja ellenőrizni, hogy a célhely jogos-e, és sok esetben a beolvasás mobiltelefonról történik , ami elterelte az interakciót a vállalati számítógéptől, és a vállalat biztonsági ellenőrzésein túlra helyezte át az interakciót.
A link megnyitása után az áldozat olyan oldalakra juthat, amelyek vállalati szolgáltatásokat, banki platformokat vagy hitelesítési képernyőket utánoznak. A cél a csalás típusától függ, de általában hitelesítő adatok, személyes adatok vagy pénzügyi információk megszerzését foglalja magában . Ez a megszemélyesítés hihetőbb, ha az üzenet ismerős kontextusban érkezik, például egy feltételezett belső kommunikációban vagy egy olyan entitástól érkező értesítésben, amelyet a felhasználó rendszeresen használ.
A Microsoft ugyanezen időszak alatt körülbelül 8.300 milliárd e-mailben terjesztett adathalász fenyegetést is azonosított . A vállalat a quishinget írta le a leggyorsabban növekvő támadási vektorként ebben az időszakban, ez a trend összhangban van a QR-kódok mindenféle környezetben való bővülő használatával.
PDF-ek, e-mailek és Microsoft 365-dokumentumok: az előnyben részesített csatornák
A Barracuda 2026-os e-mail fenyegetésekről szóló jelentése számos meglepő megállapítást tár fel. Az elemzett rosszindulatú PDF-ek 70%-a QR-kódokat tartalmazott, amelyek adathalász oldalakra vezettek. Más szóval, a dokumentum álcaként működik, hogy rávegye az áldozatot, hogy bízzon a fájlban, és ne gyanakodjon a benne lévő kódra.
Ugyanez a jelentés részletezi, hogy a rosszindulatú Microsoft 365 dokumentumok 56%-a tartalmazott quishing funkciót. Továbbá az e-mailek törzsébe közvetlenül beágyazott kódok száma 336%-kal nőtt 2026 márciusában. A támadók nem korlátozódnak a mellékletekre: a QR-kódot magába az üzenet szövegébe is elhelyezik, hogy növeljék annak esélyét, hogy valaki beolvassa azt.
Az ESET 2026 első félévére vonatkozó fenyegetésjelentése szerint az év első felében az összes adathalász támadás akár 11%-át is a quishing módszerrel hajtották végre. A cég figyelmeztet, hogy ezek a technikák egyre kifinomultabbak: egyes kampányok célja a többtényezős hitelesítési tokenek megszerzése, rosszindulatú programok telepítése, az áldozatok rábeszélése rosszindulatú alkalmazások letöltésére, vagy legitim telefonalkalmazások használata a csalás részeként.
Josep Albors, az ESET Spanyolország kutatási és tudatosságnövelő vezetője elmagyarázza, hogy a támadók tovább álcázhatják a kódot PDF-ekbe, JPEG képekbe vagy más dokumentumokba ágyazással , vagy olyan szolgáltatások használatával, amelyek a QR-kód generálása előtt lerövidítik az URL-eket. Ugyanakkor a kódot kísérő üzenet nagyon kevés szöveget tartalmazhat, kiküszöbölve a klasszikus nyomokat, például a helyesírási hibákat, a látható linkeket vagy a szokatlan domaineket.
Az éttermi étlaptól a parkolóig: fizikai kockázat és védekezési intézkedések
A veszély nem áll meg a postaládádnál. Az éttermekben, üzletekben, tömegközlekedési eszközökön, parkolókban és turisztikai szolgáltatásokban elhelyezett QR-kódok ugyanazt a problémát vetik fel: a beolvasás előtt nem lehet ellenőrizni, hogy melyik oldal jelenik meg. Továbbá, nyilvános helyeken a kódot manipulálhatták vagy egy hamis kóddal helyettesíthették.
Augusztusban az INCIBE dokumentált egy valós esetet, amely tökéletesen illusztrálja a kockázatot. Egy felhasználó beolvasta egy étterem étlapjának QR-kódját, és miután rákattintott a linkre és elfogadta a felugró ablakot, véletlenül aktivált egy kéretlen prémium előfizetést . Ugyanebben az intézményben más vendégek is hasonló helyzeteket tapasztaltak, ami azt mutatja, hogy a probléma nem egyetlen személyt érintő elszigetelt incidens volt.
A technológia térnyerése részben magyarázza a jelenséget. A QR TIGER által összeállított adatok szerint a világ éttermeinek mintegy 75%-a már használ QR-kódokat a digitális étlapokhoz való hozzáférés megkönnyítésére. Az eszköz marketing- és reklámcélú használata 323%-kal nőtt 2021 és 2023 között, ami segít megmagyarázni, hogy a bűnözők miért összpontosítottak rá.
Az ESET azt javasolja a vállalkozások számára, hogy a QR-kódok elhallgattatását is vegyék be a figyelemfelkeltő programokba és a szimulációs gyakorlatokba, hogy az alkalmazottak megtanulják felismerni a gyanús QR-kódokat. Azt is javasolja, hogy ne szkenneljék be a kéretlen e-mailekben található kódokat, és javasolja a gyanús üzenetek jelentését.
Amikor egy alkalmazott úgy véli, hogy egy üzenet megbízható forrásból származik, célszerű azt egy független csatornán keresztül ellenőrizni , olyan elérhetőségek használatával, amelyek nem szerepelnek magában az e-mailben. Ez az ellenőrzés megakadályozza, hogy a megerősítés a potenciális támadó által küldött információkra támaszkodjon.
A technikai védelem is fontos. Az említett intézkedések között szerepelnek az e-mail biztonsági megoldások, a mobil biztonsági eszközök, az eszközkezelés MDM-en keresztül, az adathalászattal szemben ellenálló többtényezős hitelesítés , a minimális jogosultságok elve, a just-in-time hozzáférés, a rendszeres frissítések és a rendellenes viselkedés figyelése. Ezenkívül elengedhetetlen az incidensekre adott választervek tesztelése a gyors reagálás biztosítása érdekében támadás esetén.
- E-mail és mobil biztonság a rosszindulatú linkek és kódok blokkolására.
- MDM eszközkezelés minimumszabályok alkalmazására.
- Adathalászattal szemben ellenálló MFA és a legkisebb privilégium elve.
- Frissítések, just-in-time hozzáférés és folyamatos felügyelet.
Az összes adat által feltárt minta egyértelmű: a QR-kódok rést találtak a mindennapi életben, mivel kényelmesek, gyorsak és mindenütt jelen vannak. Ez a mindenütt jelenlét teszi nehézzé a fenyegetés felderítését. A kulcs az, hogy legyünk óvatosak a váratlan eseményekkel szemben , a szkennelés előtt ellenőrizzük a kontextust, és olyan biztonsági intézkedéseket vezessünk be, amelyek az e-mailtől a mobileszközökig, beleértve a dokumentumokat és a fizikai tereket is, végigkísérik a felhasználót.
