Die rasante Zunahme von Phishing-Scams, die QR-Codes verwenden, stellt Sicherheitsverantwortliche vor neue Herausforderungen. Es ist höchste Zeit, sich mit effektiven Maßnahmen gegen Quishing zu wappnen.

Die Evolution von Phishing zu Quishing

Trotz der Erfolge im Kampf gegen Phishing und der breiteren Einführung von Sicherheitskonzepten wie Zero Trust und Multifaktor-Authentifizierung suchen Cyberkriminelle ständig nach neuen Angriffswegen. QR-Codes werden zunehmend zu einem beliebten Werkzeug in ihren Arsenalen.

Diverse Studien von führenden Cybersecurity-Forschungsinstituten wie Perception Point, Check Point und AT&T dokumentieren einen drastischen Anstieg von Phishing-Angriffen, die QR-Codes nutzen, auch bekannt als Quishing.

Wie funktioniert Quishing?

Quishing überträgt Informationen, oft in Form bösartiger Links, in das QR-Code-Format. Diese scheinbar harmlosen Codes stellen eine ernsthafte Bedrohung für Unternehmensmitarbeiter dar, da sie das Risiko erhöhen, Opfer von Betrügern zu werden. Für Angreifer bieten QR-Codes mehrere Vorteile:

• Leicht zu erstellen und zu nutzen: Angreifer können mithilfe kostenloser Ressourcen überzeugende Phishing-E-Mails, -Anhänge und -Websites mit QR-Codes erstellen, was ihre Angriffseffektivität mit minimalem Aufwand steigert.
• Täuschend legitim: QR-Codes wirken offiziell und bieten Nutzern eine bequeme und schnelle Möglichkeit, auf Ziele zuzugreifen. Dies macht sie zu einem hochwertigen Köder in den Händen von Cyberkriminellen.
• Schwer zu erkennen: Bösartige QR-Codes sind für automatisierte Sicherheitssysteme schwer zu erkennen, da sie nur ein Bild sind, das Informationen verschlüsselt. Dadurch können sie die Erkennung durch Spam-Filter umgehen.
  

Maßnahmen zur Verhinderung von QR-Code-Phishing

Die Gefahr bösartiger QR-Codes manifestiert sich sowohl auf menschlicher als auch auf technischer Ebene. Um diesem Problem wirksam zu begegnen, sind mehrere Ansätze erforderlich:

Aufklärung und Sensibilisierung

Benutzer sollten über die Bedrohung durch Quishing informiert werden. Es ist wichtig zu betonen, dass QR-Codes allein keine Garantie für Legitimität darstellen.

Prävention durch Filterung

Automatisierte Systeme zur Filterung von E-Mails und URLs sollten auf schädliche QR-Codes überprüft und gegebenenfalls aktualisiert werden. Unternehmen, die QR-Codes verwenden, sollten ihre Prozesse überprüfen und optimieren, um sie für Cyberkriminelle weniger anfällig zu machen.

Reaktionsfähigkeit

Die Integration von Erkennungs- und Sperrmechanismen kann dabei helfen, Konten vor Kompromittierung zu schützen.

Validierung und Simulation

Es ist ratsam, Angriffe mit QR-Codes in Red-Teaming-Tests und Angriffssimulationen zu integrieren, um die Reaktion des Unternehmens auf solche Bedrohungen zu validieren.

Die Aufklärung der Mitarbeiter sollte Hand in Hand mit der Implementierung technischer Sicherheitsmaßnahmen gehen. Dabei kann künstliche Intelligenz (KI) eine zentrale Rolle spielen, da Angreifer ebenfalls KI einsetzen, um überzeugende Quishing-E-Mails zu erstellen.

Ausblick: Quishing im Unternehmenskontext

Historisch gesehen waren viele Quishing-Kampagnen auf Verbraucher ausgerichtet. Es ist jedoch zu erwarten, dass sich dieser Fokus verschiebt, wie kürzliche Angriffe auf Unternehmensnetzwerke zeigen. Ein kürzlich erfolgter großangelegter Cyberangriff mit bösartigen QR-Codes auf einen US-Energieversorger verdeutlicht die wachsende Bedrohung, der Unternehmen gegenüberstehen.