Kody QR: Szybka odpowiedź, szybkie ryzyko? – Portal PR - 24PR




Kody QR: Szybka odpowiedź, szybkie ryzyko?

27.02.2012 Kategoria: Telefony, Wizualizacja. Autor: admin

Kody QR mają za zadanie pomóc użytkownikom w szybki i prosty sposób otrzymać bezpośrednio informacje na temat produktów i usług. Jednak kody te zaczęły być również wykorzystywane do konstruowania ataków z wykorzystaniem inżynierii społecznej. Firma Check Point postanowiła się przyjrzeć temu nowemu trendowi fałszywych kodów QR i rosnącym obawom użytkowników.

W dzisiejszych czasach nie trzeba daleko szukać, żeby znaleźć kod QR. Ich skromny początek miał miejsce w znakowaniu i kontrolowaniu części wykorzystywanych przy konstruowaniu samochodów. Obecnie te małe, składające się z prostokątów podrasowane kody kreskowe są umieszczane wszędzie, poczynając od opakowań produktów przez plakaty, billboardy aż po magazyny i gazety.

Kody QR są przeskokiem między światem offline a światem online. Dzięki prostemu zeskanowaniu kodu przy użycia smartfona, posiadacz telefonu może szybko dotrzeć do cyfrowej informacji, która jest wywoływana za pomocą kodu. Wszystko to sprawia, że kody QR są marketingowym cudem, gdyż umożliwiają użytkownikom bezpośredni dostęp do usług i informacji. Co więcej, kody te wykorzystują niewątpliwy czynnik oryginalności i ludzkiej ciekawości a jednocześnie za ich popularnością przemawia oferowana przez nie wygoda polegająca na prostym wskazaniu i przeglądaniu informacji.

Niestety wszystkie te zalety przyczyniły się do tego, że kody QR stały się przydatnym narzędziem dla hakerów przygotowujących ataki oparte na inżynierii społecznej, które wykorzystują zaufanie i zainteresowanie użytkownika w celu przekierowania go do złośliwych stron lub szkodliwego oprogramowania. Podczas gdy technika ‘drive-by downloads’ jest już obecnie bardzo rozpowszechniona jako sposób na kradzież danych użytkownika bez jego wiedzy w czasie przeglądania stron internetowych, kody QR odsłaniają nowe możliwości manipulowania użytkownikami urządzeń mobilnych na podobnej zasadzie.

Kwestia zaufania

Problem z kodami QR polega na tym, że wymagają one od użytkownika zaufania do dostawcy kodu oraz założenia, że docelowy element wskazywany przez kod jest elementem zaufanym. Dla przeciętnego użytkownika jest to praktycznie niemożliwe do ocenienia, gdyż kody QR tak naprawdę ukrywają stronę internetową i zawartość, do której prowadzą. Inżynieria społeczna ewoluowała z formy robaków zawartych w wiadomościach email z początku lat 2000, jednak technika ta wciąż wykorzystuje ludzką ciekawość zobaczenia tego, co się stanie po kliknięciu na załącznik lub zeskanowaniu kodu. Często prowadzi to do sporych problemów w kontekście bezpieczeństwa.

Co więcej, aplikacje skanujące kody QR działające na smartfonach mogą dawać bezpośredni dostęp do innych funkcjonalności telefonu, takich jak email, SMS, usługi lokalizacyjne i instalowania aplikacji, co jeszcze bardziej zwiększa potencjalne ryzyko ataku na urządzenie mobilne. Przyjrzyjmy się temu, jak potencjalny wirus ukryty pod kodem QR może zostać zainstalowany, a następnie zobaczmy, jak przed tym się bronić.

Odczytywanie kodu

Pierwszym krokiem do przeprowadzenia ataku z wykorzystaniem kodu QR jest samo rozpowszechnienie kodu tak, aby znalazł się on bezpośrednio przed potencjalną ofiarą. Można tego dokonać dołączając kod QR do wiadomości email – realizując to jako wyrachowany atak phishingowy – lub poprzez rozpowszechnienie wiarygodnie wyglądających dokumentów z nadrukowanymi kodami QR, na przykład ulotek na prezentacjach handlowych lub nawet naklejek przyklejonych do prawdziwych ogłoszeń na billboardach.

Jak tylko kod QR zostanie rozpowszechniony, atakujący ma mnóstwo możliwości wyboru rodzaju ataku. Najprostszy z nich to zwykłe przekierowanie użytkownika na fałszywą stronę internetową aby przeprowadzić atak phishingowy – na przykład fałszywy sklep internetowy lub strona do płatności online

Bardziej złożone ataki wykorzystują kody QR do przekierowania użytkowników do stron, które dokonają włamania na ich urządzenia przenośne – czyli otrzymania uprawnień administratora na systemie operacyjnym urządzenia i zainstalowania złośliwego oprogramowania. Jest to zasadniczo atak typu drive-by download, umożliwiający zainstalowanie bez wiedzy i pozwolenia użytkownika dodatkowego oprogramowania lub aplikacji, np. typu key logger (rejestrujących zapis z klawiatury) lub śledzących położenie urządzenia z wykorzystaniem GPS.

Cel – portfel na urządzeniu mobilnym

Prawdopodobnie największym potencjalnym zagrożeniem dla użytkowników jest coraz większa popularność bankowości i płatności dokonywanych z użyciem smartfonów. Dzięki temu, że kody QR mają możliwość włamania się na urządzenie przenośne i manipulowania aplikacjami, daje to hakerom szansę na wirtualną kradzież kieszonkową portfeli na urządzeniach przenośnych, zwłaszcza za pomocą płatności bazujących na kodach QR, które już istnieją i są w użyciu. Popularność takich rozwiązań jest na razie nieduża, ale na pewno niedługo będzie coraz większa wraz ze społeczną akceptacją kodów QR.

Wobec tego w jaki sposób przedsiębiorstwa i indywidualni użytkownicy mogą zapobiec zagrożeniom płynącym z kodów QR? Najważniejszym środkiem ostrożności to mieć możliwość dokładnego ustalenia, do jakiej strony lub zasobu przekieruje nas kod po zeskanowaniu. Niektóre (nie wszystkie) aplikacje do skanowania kodów QR umożliwiają sprawdzenie elementu docelowego i – co jest najistotniejsze – proszą użytkownika o potwierdzenie chęci wykonania akcji. Daje to możliwość sprawdzenia przez użytkownika poprawności docelowego odnośnika zanim kod zostanie aktywowany.

Jeżeli chodzi o firmowe smartfony, warto rozważyć zastosowanie szyfrowania danych. Nawet gdy złośliwy kod QR zdoła zainstalować konia trojańskiego na urządzeniu, wrażliwe dane pozostaną wciąż chronione, a haker nie będzie miał do nich natychmiastowego dostępu i możliwości ich wykorzystania.

Podsumowując, zagrożenia wynikające z kodów QR są naprawdę niezłym sposobem na udoskonalenie i dopracowanie istniejących już hakerskich trików i ataków. Podstawy zachowania bezpieczeństwa pozostają te same – uważać co się skanuje oraz wykorzystywać szyfrowanie danych tam, gdzie to możliwe. Lub po prostu: zastanowić się najpierw, zanim zeskanujemy kod QR.

O spółce Check Point Software Technologies Ltd.
www.checkpoint.com

Podobne wpisy:







Wszelkie prawa do portalu w rozumieniu ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych zastrzeżone są na rzecz MERKON GROUP CEZARY KRAJEWSKI i odpowiednio na rzecz współpracujących podmiotów i nie mogą być rozpowszechniane w całości bądź w części (także kanały RSS) bez uprzedniej pisemnej ich zgody.