Abuzul tot mai mare al codurilor QR în programele malware și escrocherii de plată determină avertismentul FTC

Comisia Federală pentru Comerț din SUA a devenit cea mai recentă organizație care a avertizat împotriva utilizării în creștere a codurilor QR în escrocherii care încearcă să preia controlul asupra smartphone-urilor, să facă taxe frauduloase sau să obțină informații personale.

Prescurtare pentru coduri de răspuns rapid, codurile QR sunt coduri de bare bidimensionale care deschid automat un browser web sau o aplicație atunci când sunt scanate cu ajutorul camerei unui telefon. Restaurantele, parcările, comercianții și organizațiile de caritate le afișează pentru a facilita deschiderea meniurilor online sau efectuarea plăților online. Codurile QR sunt folosite și în contexte sensibile la securitate. YouTube, Apple TV și zeci de alte aplicații TV, de exemplu, permit cuiva să se conecteze la contul lor prin scanarea unui cod QR afișat pe ecran. Codul deschide o pagină într-un browser sau aplicație a telefonului, unde parola contului este deja stocată. Odată deschisă, pagina autentifică același cont pentru a fi deschis în aplicația TV. Aplicațiile de autentificare cu doi factori oferă un flux similar folosind coduri QR atunci când înregistrați un cont nou.

Totuși, omniprezența codurilor QR și încrederea acordată acestora nu a fost pierdută de escroci. De mai bine de doi ani încoace, au chioșcurile de parcare care permit oamenilor să facă plăți prin intermediul telefoanelor lor fost o țintă preferată. Escrocii lipesc coduri QR peste cele legitime. Codurile QR de înșelătorie duc la site-uri asemănătoare care direcționează fonduri către conturi frauduloase, mai degrabă decât către cele controlate de garaj.

În alte cazuri, e-mailurile care încearcă să fure parole sau să instaleze programe malware pe dispozitivele utilizatorilor folosesc coduri QR pentru a atrage ținte către site-uri rău intenționate. Deoarece codul QR este încorporat în e-mail ca imagine, software-ul de securitate anti-phishing nu este capabil să detecteze că legătura la care duce este rău intenționată. Prin comparație, atunci când aceeași destinație rău intenționată este prezentată ca un link text în e-mail, există o probabilitate mult mai mare de a fi semnalată de software-ul de securitate. Capacitatea de a ocoli astfel de protecții a condus la a torrent de phish-uri bazate pe imagini în ultimele luni.

Săptămâna trecută, FTC avertizat consumatorii să fie atenți la aceste tipuri de escrocherii.

„Codul QR al unui escroc te poate duce la un site falsificat care pare real, dar nu este”, se arată în aviz. „Și dacă vă conectați la site-ul falsificat, escrocii ar putea fura orice informație pe care o introduceți. Sau codul QR ar putea instala programe malware care vă fură informațiile înainte să vă dați seama.”

Avertismentul a venit la aproape doi ani după ce FBI a emis o consiliere similară. Îndrumările emise de ambele agenții includ:

• După scanarea unui cod QR, asigurați-vă că acesta duce la adresa URL oficială a site-ului sau serviciului care a furnizat codul. La fel ca în cazul înșelătoriilor tradiționale de tip phishing, numele de domenii rău intenționate pot fi aproape identice cu cele dorite, cu excepția unei singure litere greșite.
• Introduceți datele de conectare, informațiile despre cardul de plată sau alte date sensibile numai după ce v-ați asigurat că site-ul deschis prin codul QR trece printr-o inspecție atentă folosind criteriile de mai sus.
• Înainte de a scana un cod QR prezentat într-un meniu, parcare, vânzător sau organizație caritabilă, asigurați-vă că nu a fost modificat. Căutați cu atenție autocolante plasate deasupra codului original.
• Fiți foarte suspicios față de orice coduri QR încorporate în corpul unui e-mail. Rareori există motive legitime pentru ca e-mailurile benigne de pe site-uri sau servicii legitime să folosească un cod QR în loc de un link.
• Nu instalați scanere de coduri QR de sine stătătoare pe un telefon fără un motiv întemeiat și numai după ce ați examinat mai întâi cu atenție dezvoltatorul. Telefoanele au deja un scanner încorporat disponibil prin aplicația pentru cameră, care va fi mai demn de încredere.

Un cuvânt suplimentar de precauție atunci când vine vorba de codurile QR: codurile folosite pentru a înscrie un site în autentificare cu doi factori de la Google Authenticator, Authy sau o altă aplicație de autentificare furnizează simbolul secret care controlează parola unică, aflată în continuă schimbare, afișată de aceste aplicații. Nu permiteți nimănui să vadă astfel de coduri QR. Reînregistrați site-ul în cazul în care codul QR este expus.