Федеральное бюро расследований (ФБР) предупреждает о расширении киберугроз, связанных с использованием обычных QR-кодов в качестве инструментов слежки. В последние месяцы злоумышленники, связанные с северокорейской группировкой, активизировались, применяя тактику, известную как «quishing» — фишинг через QR-коды.
Что такое «quishing» и как он работает
«Quishing» — это разновидность фишинга, при которой вместо перехода по подозрительным ссылкам в email-рассылках пользователи сканируют QR-код, скрывающий вредоносный адрес. Сам по себе QR-код безобиден, но злоумышленники используют его для перенаправления на фальшивые сайты. После сканирования пользователь может попасть на страницу, похожую на легитимную, где его просят ввести логин и пароль или скачать вредоносное ПО.
Проблема в том, что QR-коды выглядят привычно и вызывают доверие благодаря скорости и удобству использования. Это делает их особенно привлекательными для злоумышленников, которые полагаются на мгновенное доверие пользователя.
Обзор угроз и тактики злоумышленников
ФБР связывает активность этих атак с группировкой Kimsuky, которая уже годы занимается кибершпионажом для северокорейского правительства. Впервые такие кампании с использованием QR-кодов зафиксированы в мае 2025 года. В одном случае злоумышленники представлялись советником по внешней политике и отправляли сотрудникам аналитических центров QR-код, ведущий на фальшивый опросник. Сканирование приводило к заражению устройства или краже личных данных.
На целевой странице злоумышленники могут:
- предлагать скачать вредоносные файлы;
- подделывать страницы входа в популярные системы (например, Microsoft 365, VPN-сервисы);
- собирать техническую информацию о устройстве — IP-адрес, ОС, браузер, геолокацию.
Эти данные помогают злоумышленникам создавать профили целей и повышают эффективность последующих атак.
Особенности и риски для пользователей
ФБР подчеркивает, что такие кампании — это не массовый спам, а целенаправленные атаки (spear phishing). Злоумышленники тщательно подготавливают сообщения, делая их максимально правдоподобными и персонализированными. Особенно опасны такие атаки для профессионалов, руководителей, исследователей и сотрудников в области технологий и политики.
QR-коды широко распространены: их используют в ресторанах, на парковках, билетах и рекламных плакатах. Рост их популярности увеличивает и возможности злоумышленников для злоупотреблений.
Советы по защите от «quishing»
ФБР рекомендует соблюдать простые правила, которые значительно снизят риск стать жертвой мошенников:
- Не сканировать QR-коды без предварительной проверки источника, особенно если они пришли в сообщениях или приложениях.
- Перед сканированием подтвердить отправителя — позвонить или связаться через другой канал, чтобы удостовериться в добросовестности сообщения.
- Если QR-код ведет на страницу входа, внимательно осмотрите URL — избегайте страниц с ошибками в названии или необычными доменными зонами.
- Используйте антивирусные программы, которые могут блокировать фишинговые сайты, предупреждать о вредоносных скачиваниях и защищать мобильные устройства.
Дополнительные меры для защиты личных данных
Чтобы снизить риск утечки личной информации, рекомендуется использовать сервисы удаления данных из интернета. Они помогают удалять личные сведения с различных сайтов, усложняя злоумышленникам создание точных профилей. Хотя полностью исключить присутствие данных невозможно, такие меры значительно усложняют работу киберпреступникам, снижая вероятность успешных атак.
Проверяйте свои устройства на наличие уязвимостей и своевременно обновляйте программное обеспечение, чтобы защититься от новых видов вредоносных программ. Помните, что бдительность и осторожность — лучшие средства против киберугроз.
Алексей "Gadgeteer" Беляев
Ваш персональный техно-стратег и цифровой шерпа в запутанных джунглях современных технологий. Он не только подвергает гаджеты самым суровым испытаниям, но и анализирует невидимые силы, движущие IT-индустрией. Его материалы — это не просто обзоры, а чёткая дорожная карта, которая помогает вам делать осознанный выбор и использовать технологии для улучшения жизни, а не наоборот.