Aprendizado e descoberta 3min de Leitura - 22 de abril de 2022

Códigos QR estão sendo explorados para ataques Qshing

celular qr code

This post is also available in: Português

Quase vinte anos após serem desenvolvidos, a prevalência e o use de códigos de resposta rápida (QR) expandiram muito além de seu escopo original. Embora muitos usos sejam legítimos, os cibercriminosos também aproveitam a tecnologia para fins maliciosos.

Os códigos QR foram inventados em 1994, e originalmente forneciam informações de rastreamento rápido para peças de automóveis. Essa tecnologia foi adotada por outras empresas e atualizadas para facilitar o acesso a sites e outras informações.

Em 2022, esses códigos são usados para facilitar pagamentos, baixar aplicativos, direcionar a páginas de internet, distribuir documentos e confirmar ingressos para eventos. Eles ainda suportam mecanismos de segurança, incluindo a implantação de autenticação multifator.

A pandemia de COVID-19 levou ao uso generalizado de códigos QR para relatar resultados de testes e confirmar o status de vacinação. A popularidade da tecnologia foi confirmada pela digitalização sem precedentes do anúncio da Coinbase durante o Super Bowl de 2022.

Essa evolução concedeu os usuários de que os mecanismos de código QR podem ser confiáveis. Porém, os cibercriminosos estão explorando essa confiança para coletar informações confidenciais ou implantar malwares.

Como os códigos QR são explorados?

Os códigos QR utilizam câmeras ou scanners de dispositivos móveis para ler um código de barras de matriz. O dispositivo então traduz o código de barras em uma ação, como um redirecionamento para um site ou mídia social. Embora os códigos QR não possam ser comprometidos diretamente, é possível substituir um código QR por outro, abusar deles para distribuir software malicioso ou redirecionar as vítimas para um site malicioso.

Os ataques que exploram códigos QR são conhecidos como Qshing – phishing. Em janeiro de de 2022, o FBI alertou os usuários de código QR sobre adulteração e citou o aumento de relatórios de credenciais roubadas e perda monetária. Em março, a Equipe de Resposta a Emergências de Computadores da Ucrânia (CERT-UA) relatou uma campanha Qshing que aproveita uma página de redefinição de senha falsa para roubar credenciais.

Proteja-se

Embora não haja uma maneira conclusiva de verificar a legitimidade de um código QR além de abri-lo ou usar um aplicativo de scanner de código QR, é recomendável que os usuários considerem as seguintes etapas ao se deparar com um código QR:

  • Utilize um aplicativo de segurança em seu dispositivo móvel.

Muitos fornecedores oferecem aplicativos que fornecem detecção antivírus e outras proteções de segurança para dispositivos móveis. Alguns desses aplicativos incluem scanners QR. A digitalização de um código QR por meio do aplicativo de segurança pode interceptar códigos QR maliciosos ou traços suspeitos, adicionando outra camada de proteção.

  • Avalie a credibilidade do código QR

O contexto e as mensagens do código QR parecem apropriados para a configuração? Por exemplo, um restaurante que oferece seu cardápio via QR code é razoável.
No entanto, os usuários devem ser cautelosos se a leitura de um código QR leva a solicitações de informações que não parecem relevantes (por exemplo, informações de identificação pessoal). Se o código QR parecer suspeito, você pode tentar verificar sua credibilidade entrando em contato com a organização ou indivíduo que o emitiu.
Além disso, é importante avaliar os riscos potenciais associados ao compartilhamento das informações solicitadas.

  • Sempre que possível use o acesso direto

Os códigos QR são frequentemente usados para fornecer acesso direto a um site ou download de aplicativo. É mais seguro visitar um site por meio de um URL confirmado em um navegador da Web e baixar aplicativos da loja de aplicativos oficial. É recomendado também interagir diretamente com seu banco ou provedor de serviços (por exemplo, fornecedores como empresas de serviços públicos, aplicativos financeiros confiáveis como PayPal) em vez de fazer pagamentos ou transações financeiras por meio de um site acessado por um código QR.

  • Verifique o destino do código QR

O código QR em si pode não ser malicioso, mas pode direcioná-lo para conteúdo malicioso. Avalie a autenticidade e a segurança do conteúdo considerando fatores como validade do URL, status da criptografia e formatação da página. Se algo não parecer certo, evite prosseguir com qualquer ação.

  • Minimize o impacto

Se você digitalizou um código QR e navegou para um site ou aplicativo que parece malicioso ou não confiável, feche a página ou o aplicativo, limpe os cookies e o cache do site do navegador e exclua a página ou o aplicativo do histórico do navegador. Se você forneceu credenciais ou informações financeiras, encaminhe o incidente para a organização apropriada e altere sua senha.

Normalmente, os dispositivos móveis são mais difíceis de explorar sem a interação do usuário, mas o uso expandido de códigos QR pode diminuir as defesas do usuário. Avaliar a legitimidade de um código QR pode evitar um erro caro, estressante ou prejudicial. A vigilância é fundamental.

This post is also available in: Português