A quishing (QR + phishing) napjaink egyik legdinamikusabban terjedő adathalászati módszere, amely a QR-kódok egyszerűségét, kényelmét használja ki a felhasználók megtévesztésére.

A források alapján ez a típusú visszaélés 2023-ban több mint 400%-os növekedést mutatott. A technika lényege, hogy a mobil kamerájával beolvasott kód rosszindulatú URL-t tartalmaz, amely adathalász oldalra irányít, kártékony alkalmazást telepít, vagy akár automatikus hívást, SMS-küldést, sőt digitális fizetést is indíthat, de akár távolról törölhetik is a készülék adatait.

A bűnözők rendkívül találékonyak: előfordult, hogy parkolóórák eredeti QR-kódjait ragasztották át saját, kártékony hivatkozásaikkal.

Arra is volt már példa, hogy hagyományos postai levelekben érkeztek kártékony kódok. De a gyanús QR kódok gyakoriak a csomagküldő szolgálatok nevében érkező hamis értesítéseken, vagy a különféle ajándékutalványt ígérő csalásoknál is.

Mostani esetünkben a bűnözők hamis SMS-eket küldenek, amelyekben állítólagos bírósági idézéssel vagy közlekedési szabálysértéssel (például fizetetlen úthasználati díj miatti bírsággal) fenyegetik az áldozatokat.

Az üzenetben a New York Városi Büntetőbíróság nevében egy QR-kódot tartalmazó képet küldenek, amelyet beszkennelve a felhasználó először egy közvetítő oldalt lát, amely egy captcha kód megoldását kéri - ez részint a hitelességet próbálja meg erősíteni, de emellett megnehezíti az automatizált biztonsági szoftverek és kutatók számára az adathalász kampány elemzését.

A captcha kód begépelése után egy hitelesnek tűnő, de hamis kormányzati oldalra jutunk. Bár a webhelyen mindössze egy jelképes összeg (pl. 6.99 dollár) azonnali befizetését kérik, ám a valódi cél természetesen az adathalászat, vagyis a bankkártyaadatok és személyes információk teljes körű ellopása.

A módszer különösen veszélyes, hiszen a kód beolvasása után a telefon külön jóváhagyás nélkül, automatikusan hajthatja végre a kéretlen műveletet.

A megelőzés kulcsa a biztonságtudatos hozzáállás: soha ne szkenneljünk be kéretlen vagy bizonytalan gyanús forrásból származó kódokat, különösen ha azok állítólagos "megerősítésre" szólítanak fel. Használjunk mobileszközünkön is naprakész vírusvédelmet, amely képes blokkolni az adathalász kísérleteket.