Was ist Quishing?
Das Wort „Quishing“ ist eine Kombination aus dem Begriff „Phishing“ und der Abkürzung „QR“ und beschreibt Phishing-Angriffe über einen QR-Code.
Exkurs: Was ist eigentlich ein QR-Code? QR steht für „Quick Response“ – also „Schnelle Antwort“. Dabei handelt es sich um einen zweidimensionalen Code, mit dem Informationen in stark verkürzter Form angezeigt und durch Scannen des QR-Codes abgerufen werden. Die Codes können mit der Kamera eines Smartphones gelesen werden. Ähnlich funktionieren auch die Barcodes in Supermärkten. Allerdings kann der QR-Code mehr Informationen verarbeiten. So kann der Nutzer zu Homepages, Bildern, Videos, Textdateien usw. geleitet werden.
Wie nutzt man einen QR-Code?
Wie gehen Cyberkriminelle vor?
Die Motivation der Kriminellen beim Quishing unterscheidet sich nicht von anderen Phishing-Methoden. Auch hier liegt der Fokus darauf, die Nutzenden zu schnellen, unüberlegten Handlungen zu verleiten. Auf diese Weise wollen die Angreifer an vertrauliche und persönliche Informationen gelangen und/ oder Schadsoftware auf den Systemen der Zielpersonen installieren. Wie beim herkömmlichen Phishing werden dabei Auslöser genutzt: Es wird Dringlichkeit suggeriert, der Nutzende wird zur Vorsicht aufgefordert oder durch das Angebot von exklusivem Wissen oder Sonderangeboten wird die Neugierde geweckt.
So können Sie beispielsweise E-Mails mit QR Codes zu neuen Angeboten, bestimmten Service-Zusatzleistungen oder Schnäppchen erhalten, die nur für Sie und auch nur für kurze Zeit gelten.
Oder Sie erhalten eine Nachricht mit der Aufforderung, Ihre Zugangsdaten zu aktualisieren. Mit dem QR-Code werden Sie schnell und unproblematisch auf die entsprechende Internetseite des vermeintliches Anbieters weitergeleitet. Auch können Sie dazu aufgefordert werden, Dokumente oder bestimmte Dateien herunterzuladen.
Fallen die Opfer auf den Quishing-Versuch herein und folgen der Aufforderung, den QR-Code zu scannen, laden sie möglicherweise sofort Malware herunter oder geben sensible Daten auf einer gefälschten Website ein, die so ebenfalls in die Hände der Cyberkriminellen fallen. Die Angreifer können die Informationen dann für ihre kriminellen Zwecke nutzen, indem sie sich beispielsweise Zugang zu Computern, Netzwerken und Systemen verschaffen oder Schadsoftware an erbeutete Kontaktdateien senden.
Welche Daten liegen im Fokus?
Persönliche Informationen, Kundendaten, Nutzerdaten, Zugangsdaten und auch Zahlungsdaten sind für Bedrohungsakteure besonders interessant. Kriminelle Hacker nutzen die QR-Codes, um Anwender auf betrügerische Webseiten zu leiten. Werden dort der Benutzername und das Passwort eingegeben, sind diese den Cyberkriminellen ebenfalls bekannt. Geben die Opfer zusätzlich Zahlungsinformationen ein, fallen auch diese Informationen in die Hände der Cyberkriminellen.
Wo kann Ihnen Quishing im Alltag begegnen?
Im Prinzip überall. Die Nutzung und Akzeptanz von QR-Codes nimmt massiv zu. Da sie einfach, schnell und kontaktlos verwendet werden können, entscheiden sich immer mehr Unternehmen für die Verwendung von QR-Codes. Auch auf der Nutzerseite findet die Methode immer mehr Anklang. Immer mehr Menschen wissen damit umzugehen und scannen die Codes, um Angebote, Kontaktdaten, Auskunftsinformationen, aktuelle Hinweise, Fahrpläne oder ähnliches abzurufen. Das machen sich die kriminellen Hacker zunutze. Auch wenn herkömmliche Phishing-E-Mails oder Smishing (Phishing per SMS) zur Zeit noch weiter verbreitet sind, stellt Quishing eine wachsende Bedrohung dar.
Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt derzeit vor dieser Art Angriffen, denn zum einen ist die URL hinter QR-Codes für die Mitarbeitenden nur schwer zu erkennen. Zum anderen erkennen Spam-Filter heute bereits eine Vielzahl von Phishing-E-Mails, doch QR-Codes stellen die Filter noch vor Herausforderungen. IT-Sicherheitslösungen scannen Anhänge und URLs, um Phishing-E-Mails herauszufiltern. Ein QR-Code wird jedoch oftmals als harmlose Bilddatei wahrgenommen und überwindet so die Schutzmaßnahmen.
Beispiel aus der Praxis:
Derzeit wird im Namen von Microsoft – konkret des Cloud-Dienstes Microsoft 365 – “gequisht”. In einem ersten Schritt werden hier Benutzerdaten abgegriffen. Im zweiten Schritt werden die betroffenen Nutzer dann auf eine gefälschte, aber verblüffend echt wirkende Login-Seite für Microsoft 365 geleitet. Hier werden dann Zugangsdaten abgefangen, die für weitere Cyberangriffe genutzt werden.
Wie können Sie sich vor Quishing schützen?
- Scannen Sie keine QR-Codes, die in E-Mails von unbekannten oder nicht vertrauenswürdigen Absendern angezeigt werden.
- Verwenden Sie einen QR-Scanner, der Ihnen anzeigt, auf welche Seite Sie weitergeleitet werden. Heutzutage ist ein QR-Scanner in den Kameras von allen gängigen Smartphones integriert. Dort wird angezeigt, zu welcher URL Sie weitergeleitet werden. Klicken Sie nur auf die Seiten, denen Sie vertrauen.
- Seien Sie misstrauisch, wenn ein bekannter Kontakt Ihnen plötzlich ohne Erklärung einen QR-Code in einer E-Mail schickt, wenn dies vorher nie der Fall war. Der Griff zum Telefon und ein kurzer Anruf helfen bei der Klärung.
- Wenn Sie unsicher sind, können Sie die entsprechende Webseite auch separat im Browser öffnen und dort den Aufforderungen folgen, anstatt den QR-Code zu scannen. Auf diese Weise prüfen Sie die Echtheit der Nachricht und sind auf jeden Fall auf der sicheren Seite.
Unser Tipp:
Smartphones gehören für viele Menschen zum Arbeitsalltag. Ob man nun ein Firmen-Smartphone hat oder sein privates Smartphone für die Arbeit nutzt – Die Sicherheitsstandards für mobile Geräte müssen definiert und allen Mitarbeitenden zugänglich gemacht werden. Es muss klar geregelt sein, für welche Zwecke das Smartphone genutzt werden darf. Darüber hinaus muss das Smartphone den aktuellen Sicherheitsstandards entsprechen. Wichtige Sicherheitsupdates müssen immer zeitnah durchgeführt werden und eine 2-Faktor- oder Multi-Faktor-Authentifizierung sollte verwendet werden, wenn dies sinnvoll und möglich ist.