Quishing

Definicja Quishing

Quishing (skrót od QR phishing) to technika ataku socjotechnicznego, w której cyberprzestępcy wykorzystują kody QR do przekierowania ofiary na złośliwą stronę internetową, często podszywającą się pod legalny serwis. Celem jest najczęściej wyłudzenie danych logowania, zainfekowanie urządzenia lub przejęcie tożsamości cyfrowej.

Ataki typu quishing zyskują na popularności wraz z rozpowszechnieniem mobilnych skanerów kodów QR, szczególnie w środowiskach korporacyjnych, edukacyjnych i administracji publicznej.

Jak działa quishing?

1. Atakujący generuje kod QR prowadzący do złośliwego URL.
2. Kod umieszczany jest w fizycznej lub cyfrowej przestrzeni (np. plakaty, ulotki, maile, formularze).
3. Ofiara skanuje kod QR przy pomocy telefonu lub innego urządzenia mobilnego.
4. Użytkownik jest kierowany do fałszywej strony, na której podaje dane logowania lub pobiera złośliwe oprogramowanie.

Przykłady zastosowań

• Fałszywe plakaty z ofertą darmowego Wi-Fi w miejscach publicznych.
• Złośliwe e-maile zawierające kod QR podszywający się pod systemy bankowe lub firmowe.
• Podmienione kody QR na terminalach płatniczych lub tablicach informacyjnych.

Dlaczego quishing jest groźny?

• Trudność w weryfikacji linku – użytkownik nie widzi adresu URL przed otwarciem.
• Omijanie filtrów antyphishingowych – wiele rozwiązań bezpieczeństwa nie analizuje treści kodów QR.
• Mobilność – użytkownicy skanują kody z poziomu urządzeń, które często nie mają aktywnej ochrony antywirusowej.

Jak się chronić przed quishingiem?

1. Nie skanuj nieznanych kodów QR z przypadkowych źródeł.
2. Stosuj oprogramowanie ochronne z funkcją analizy kodów QR.
3. Sprawdzaj adres URL po zeskanowaniu – wiele aplikacji mobilnych umożliwia podgląd linku przed otwarciem.
4. Edukacja pracowników – szkolenia z zakresu cyberhigieny i świadomości phishingu.
5. Używanie MFA – nawet jeśli dane logowania zostaną przechwycone, drugi czynnik może zablokować dostęp.

Quishing a inne formy phishingu

Trendy i rozwój

• Złośliwe QR w reklamach fizycznych i digital signage.
• Automatyczne rozpoznawanie kodów przez malware.
• Integracja z kampaniami APT – quishing jako wektor początkowy ataku.
• Ataki na systemy korporacyjne z wykorzystaniem kodów logowania jednokrotnego (SSO).