Ang QR code phishing email ay nag-uutos na mag-scan ka ng code, kadalasan para "i-verify ulit" ang account, pumirma ng dokumento o mag-reset ng password. Gumagamit ng QR code ang mga attacker dahil nahihirapan ang ilang email filter na basahin ang link sa loob ng larawan, at dahil inililipat ka ng pag-scan sa phone, kung saan mas mahirap mapansin ang pekeng login page.
Kasingtanda na ng email ang phishing, pero bagong bersyon ang may QR code, na madalas tawaging quishing. Sa halip na asul na link na puwede mong i-hover, may parisukat na larawan. Ipinapaliwanag ng gabay na ito kung bakit gusto ng mga attacker ang paraang ito, ano ang karaniwang itsura ng mga email na ito, at ano ang magagawa ng mga empleyado at kumpanya para protektahan ang sarili.
Bakit naglalagay ng QR code ang attacker sa email
Mula sa pananaw ng kriminal, sabay-sabay na nilulutas ng QR code ang ilang problema.
- Itinatago nito ang link. Hindi nababasa ng tao ang QR code, kaya hindi agad mapapansin ang kahina-hinalang web address.
- Nakakalusot ito sa filter. Maraming email security tool ang naghahambing ng text link sa listahan ng kilalang masasamang site. Mas mahirap suriin ang link sa loob ng larawan, bagama't parami nang paraming modernong tool ang nag-i-scan na rin ng larawan.
- Inililipat ka nito sa ibang device. Binabasa mo ang email sa work laptop na protektado ng security ng kumpanya, pero nag-i-scan ka gamit ang personal na phone na maaaring mas kaunti ang proteksyon.
- Itinatago ng maliit na screen ang detalye. Sa phone, maikli ang address bar, at kamukhang-kamukha ng totoo ang pekeng login page.
- Mukha itong moderno at opisyal. Gumagamit ng QR code ang mga bangko, airline at employer, kaya hindi agad nakakapagduda ang code sa email.
Ano ang itsura ng QR phishing email
Iba-iba ang mga email na ito, pero karaniwang sumusunod sa pamilyar na pattern. Kabilang sa karaniwang tema:
- "Mag-e-expire ngayong araw ang password mo. I-scan para mapanatili ang kasalukuyang password."
- "Kailangang i-enable ulit ang multi-factor authentication. I-scan gamit ang phone mo."
- "May shared document na naghihintay sa iyo. I-scan para makita."
- "Na-update ang detalye ng sweldo o bonus mo."
- "Kailangan ng kumpirmasyon mo ang isang parcel o invoice."
Karaniwang babala:
- Pagmamadali: maikling deadline o banta na ila-lock ang account mo.
- Kakaibang sender: "IT Support" o kilalang brand ang display name, pero hindi tugma ang email address.
- Kaunting text, malaking code: larawan na may QR code at maikling utos lang ang halos laman ng mensahe.
- Pangkalahatang bati sa halip na pangalan mo.
- Login page pagkatapos mag-scan: dinadala ka ng code sa page na humihingi ng work email at password, o ng one-time code.
Ang huling punto ang pinakamahalaga. Bihirang kailanganin ng tunay na IT department na mag-sign in ka sa pamamagitan ng QR code na ipinadala sa email.
Ano ang gagawin kung nakatanggap ka nito
Kung empleyado ka at may dumating na kahina-hinalang email na may QR code:
- Huwag itong i-scan gamit ang phone mo.
- Huwag itong i-forward sa katrabaho para itanong kung totoo, dahil baka may mag-scan nito.
- I-report ito gamit ang phishing report button ng kumpanya o sa pagkontak sa IT sa kilalang channel.
- Ikaw mismo ang tumingin sa account. Kung binabanggit ng email ang password o dokumento mo, pumunta diretso sa serbisyo sa karaniwang address o app nito.
- Burahin ito pagkatapos i-report, kung iyon ang proseso ng kumpanya mo.
Kung na-scan mo na ang code at nailagay ang detalye mo, kumilos agad. Palitan ang password mo, sabihan agad ang IT, at sundin ang mga hakbang sa aming gabay kung ano ang gagawin kapag naka-scan ka ng mapanganib na QR code.
Sa labas ng trabaho, ganoon din ang mga gawi. Kung gusto mong malaman kung saan papunta ang code nang hindi ito binubuksan, ang scanner na nagpapakita muna ng destinasyon, gaya ng online QR scanner ng QR-TH, ay hinahayaan kang tumingin bago mag-click.
Paano pinoprotektahan ng kumpanya ang staff
Walang iisang tool na pumipigil sa lahat ng QR phishing. Pinagsasama ng mahusay na proteksyon ang teknolohiya, proseso at tao.
Email at security tool
- Gumamit ng email security na nakakakita ng QR code sa larawan at attachment at sumusuri sa mga link nito
- Panatilihing aktibo ang link checking at safe-browsing protection sa mga device ng kumpanya at, kung angkop, sa mga managed phone
- Malinaw na markahan ang mga email mula sa labas ng organisasyon, lalo na ang gumagamit ng pangalang parang panloob
Matibay na proteksyon sa sign-in
- Gawing required ang multi-factor authentication sa lahat ng account ng staff
- Piliin ang mga paraang hindi madaling ma-phish, gaya ng passkey o security key, kung posible, dahil puwede pa ring makuha ang one-time code sa pekeng page
- Hikayatin ang authenticator app kaysa text message. Ipinapaliwanag ng aming gabay sa two-factor authentication ang mga opsyon.
- Bantayan ang kakaibang sign-in, gaya ng login mula sa bagong bansa o device
Malinaw na proseso
- Gawing kilalang patakaran na hindi kailanman hihilingin ng IT na mag-sign in ang staff gamit ang QR code sa email
- Magbigay ng iisang simpleng paraan para mag-report ng kahina-hinalang mensahe, at pasalamatan ang mga gumagamit nito
- Magkaroon ng plano para mabilis na mag-reset ng password at tapusin ang mga session kapag may nag-report ng pagkakamali
Training na tumatatak
- Magpakita ng makatotohanang halimbawa ng QR phishing email sa training
- Ituro ang simpleng tanong: "Bakit kailangan pa nito ng QR code?"
- Magsagawa ng phishing simulation na may QR code, na sinusundan ng magiliw na feedback sa halip na paninisi
Mas mabilis mag-report ang staff na hindi natatakot umamin ng pagkakamali, kaya nalilimitahan ang pinsala.
Lehitimong QR code sa email
Hindi lahat ng QR code sa email ay mapanganib. Lehitimong gumagamit nito ang event ticket, boarding pass at ilang login pairing. Kadalasang konteksto ang pagkakaiba: inaasahan mo ang email, may kinalaman ito sa ginawa mo, at ang code ay ipinapakita mo o ginagamit sa kilalang app, hindi dahilan para i-type ang password mo sa hindi kilalang page.
Makakatulong ang mga negosyong nagpapadala ng tunay na QR code sa pagpapaliwanag kung ano ang ginagawa ng code, paglalagay ng nakikilalang link sa tabi bilang alternatibo, at paggamit ng pinagkakatiwalaang domain.
FAQ
Bakit QR code ang gamit ng phishing email sa halip na link?
Dahil nakatago ang link sa tao at sa ilang filter, at dahil inililipat ng pag-scan ang biktima sa phone, kung saan madalas mas mahina ang security control at mga palatandaan.
Kaya bang harangin ng email provider ko ang QR code phishing?
Maraming email security service na ngayon ang nag-i-scan ng larawan para sa QR code at sumusuri sa mga link, pero walang nakakahuli ng lahat. Mahalagang dagdag na depensa pa rin ang sarili mong pag-iingat.
Ligtas bang i-scan ang QR code sa email mula sa bangko ko?
Mag-ingat. Bihirang hilingin ng bangko na mag-sign in ka gamit ang QR code sa email. Buksan na lang ang opisyal na app ng bangko o i-type mismo ang address nito.
Ano ang gagawin kung nailagay ko ang work password pagkatapos mag-scan?
Palitan agad ang password, sabihan ang IT o security team, at hayaan silang suriin ang kahina-hinalang sign-in. Malaki ang naitutulong ng bilis.
Tumingin bago magbukas
Gumagana ang QR phishing kapag nag-i-scan ang tao nang hindi nag-iisip. Gawing ugali ang pagsusuri: kapag may dumating na hindi inaasahang code, gamitin ang scan ng QR code online ng QR-TH para makita kung saan ito papunta bago magbukas ng kahit ano.