去年,研究人员发现了一种新的网络钓鱼活动,该活动使用QR码将受害者重定向到网络钓鱼登录页面,有效地规避了安全解决方案和控制措施,以防止此类攻击。例如,去年针对法国的网络钓鱼攻击背后的攻击者使用二维码编码的URL来绕过分析并阻止可疑的安全软件。由于二维码的发布不受限制,而且二维码生成器可以随时从网上获取,很容易被一些不法分子利用发布虚假信息进行诈骗。目前,二维码诈骗主要包括三种形式:1、接收二维码。攻击者将攻击者收到的付款二维码粘贴到常规二维码旁边。一旦用户无法识别扫描假二维码,就会跳转至转账界面。2.钓鱼网站欺骗信息。直接传输很容易被警惕的用户注意到。部分攻击者制作仿冒官方网站的钓鱼页面,以完美身份认证为名,诱骗用户主动填写个人身份信息和银行卡信息,从而进一步实施精准诈骗,甚至窃取网银。3.盗版应用隐藏木马。以共享单车为例,必须使用租车APP才能租到共享单车。攻击者设计了一个假冒的汽车租赁应用程序二维码并将其粘贴在自行车上,提示用户“更新”。用户扫码后,看似安装了租车软件,实则手机被植入了木马。由于肉眼无法辨别二维码的真伪,手机用户在扫码时一定要谨慎。最重要的是不要看到就扫码。事实上,目前用户的账户信息不一定最有价值,但用户的衣食住行、健康状况、财务信息等信息更有价值。因为这些消费数据可以完全追踪一个人,全面分析一个人。很多人没有意识到,其实你的个人信息和数据经常会在不经意间泄露。例如,在公共场所连接免费wifi、扫描促销二维码等,都可能导致您的流量被劫持、中间人攻击、手持终端入侵等。要注意什么,如何保护自己免受这些恶意二维码的侵害?二维码的推广成本低廉,几乎可以在任何地方应用,这就是为什么从零售到医疗保健的所有行业现在都在使用它们作为将人们连接到网站、促销、商店折扣、患者病历、移动支付和许多其他事物的方式以一种快速简便的方式。QR码不仅具有成本效益而且易于使用。它们也是必不可少的,尤其是在非接触式交易已成为常态的大流行期间。此外,现代几乎每个人都拥有智能手机,几乎所有智能手机都可以读取二维码,而无需第三方应用程序。近日,为了更好地了解二维码目前的发展趋势,MobileIron在9月份对美国和英国的2100多名消费者进行了跟踪调查,结果证明二维码在今天确实更受欢迎应用范围广。例如,在过去六个月中,超过三分之一的手机用户在餐厅、酒吧、零售商或消费品处扫描二维码。关于MobileIronMobileIron通过业界首个面向无处不在的企业的以移动为中心的安全平台重新定义了企业安全。在无处不在的企业中,企业数据在云中的设备和服务器之间自由流动,使员工能够在需要的地方高效工作。为了在这个无边界的企业中实现安全访问和保护数据,MobileIron采用了“零信任”方法,假设网络中已经存在不良行为者,并且安全访问由“从不信任,始终验证”模型管理。调查结果还揭示了一些令人担忧的趋势:手机用户并不真正了解二维码的潜在风险,近四分之三(71%)的受访者对合法二维码与恶意二维码混淆不清。同时,超过一半(51%)的受访用户没有或不知道他们的设备上是否有移动安全程序。二维码似乎永远是我们生活的一部分,但我们并没有多想。移动设备让我们在工作、购物、吃饭和其他分散注意力的事情时采取快速行动:滑动→点击→点击→支付。这正是黑客赖以生存的隐含信任和轻率行为,这就是为什么如果移动员工使用他们的个人设备访问业务应用程序并扫描具有潜在风险的二维码,企业IT部门应该开始更加仔细地检查。它的移动安全方法。那么,二维码有哪些风险呢?破解真正的二维码需要一些技巧来改变代码矩阵中的像素,因此黑客找到了一种简单的方法来做到这一点,例如在二维码中嵌入恶意代码(由互联网上广泛使用的免费工具生成)。软件。对于普通用户来说,这些代码看起来都一样,但恶意二维码可以将用户重定向到假冒网站。它还可以捕获个人数据或在智能手机上安装恶意软件以启动以下操作:添加联系人列表:黑客可以在用户的??手机上添加新的联系人列表并使用它来发起鱼叉式网络钓鱼或其他个性化攻击。1.发起电话呼叫:这种类型的漏洞通过触发对诈骗者的呼叫,将电话号码暴露给攻击者。2.向某人发送短信:除了向恶意收件人发送短信外,用户的联系人还可能收到来自诈骗者的恶意短信。3.撰写电子邮件:与恶意文本类似,黑客可以起草电子邮件并填写收件人和主题行。如果设备缺乏移动威胁防护,黑客可以将用户的工作电子邮件作为目标。4.支付:如果二维码是恶意的,它可以让黑客自动发送支付并窃取用户的个人财务数据。5.显示用户位置:恶意软件可以悄无声息地跟踪用户的地理位置,并将此数据发送到应用程序或网站。6.关注社交媒体账户:用户的社交媒体账户可以被引导去关注恶意账户,暴露用户的个人信息和联系信息。7.添加首选Wi-Fi网络:受感染的网络可以添加到设备的首选网络列表中,其中包括自动将设备连接到该网络的凭据。其实我们可以采取一些简单的防御措施,将二维码攻击的风险降到最低。尽管这些攻击很可怕,但它们并非不可避免。让用户了解二维码的风险是一个好的开始,但企业还需要加强移动安全防御,以抵御鱼叉式网络钓鱼和设备接管等威胁。用户可以做些什么来防止二维码攻击?首先,做好检查工作:确保二维码是合法的,尤其是打印出来的二维码,因为它们可能会被其他潜在的恶意代码粘贴。仅扫描来自受信任对象的代码:移动用户应坚持仅扫描来自受信任发件人的代码。请注意危险信号,例如与您公司URL不同的URL,这很有可能会重定向到恶意站点。注意bit.ly(短网址)链接:检查扫描二维码后显示的bit.ly链接的网址,这些链接通常用于伪装恶意网址,但可以通过添加加号(“+”)在URL的末尾安全地预览它们。公司可以做些什么来防止二维码攻击?希望公司尽快使用设备上的移动威胁防御解决方案来防止网络钓鱼攻击、设备接管、中间人攻击和恶意应用程序下载。如果没有,现在就开始寻找。公司需要确保它部署在每台访问业务应用程序和数据的设备上。如果您无所事事,那么是时候考虑消除对业务和云应用程序的基于密码的访问了,这是当今数据泄露的主要原因之一。通过转向无密码多因素身份验证,您不仅可以避免密码被盗的威胁,还可以消除维护密码的麻烦,这会让每个人(黑客除外)都更快乐、更有效率。本文翻译自:https://threatpost.com/qr-codes-sneaky-security-threat/159757/如有转载请注明原文地址:
