A „quishing” egy olyan adathalász típusú támadás, ahol a csalók QR kódokat használnak arra, hogy megtévesszék a felhasználókat, és érzékeny információkat szerezzenek meg ezáltal.
Az utóbbi években folytatódott az elektromos autók térnyerése, ez pedig magával vonzotta, hogy egyre több az EV töltőállomás országunkban, és világszerte is. Az ilyen töltőállomásokon gyakran QR kódok segítségével lehet kifizetni a megvásárolt áramot. A felhasználó csak beolvassa kamerája segítségével a töltőoszlopon elhelyezett QR-kódot, ami tovább irányítja őt egy weboldalra, ahol befejezheti a vásárlást. Ezt a jelenséget használja ki egyre több kiberbűnöző. A „quishing”a QR-kód, és a ’phishing’ szavak kominációja, ami olyan csalást ír le, amelyben hamis QR kódokat használnak arra, hogy érzékeny információkat szerezzenek meg.
A támadás menete a következő:
- A csalók elkészítenek egy hamis adathalász weboldalt, ami megszólalásig hasonlít az eredeti fizető felületre
- A csalók készítenek egy QR kódot, amely a hamis oldalra mutat
- Ezt a QR kódot a csaló ráragasztja az oszlopon található eredeti QR kódra, ezzel letakarva az eredetit
- Amikor az áldozat beolvassa a hamis QR kódot, az ismerős fizetési felületen találja magát, ez azonban már a csaló által készített oldal
- Az áldozat beírja a bankkártya, vagy egyéb érzékeny adatait, amik így a csalóhoz kerülnek
A technika természetesen nem csak az elektromos autó tulajdonosokat érinti, hasonló módszerrel bárki átverhető olyan helyzetben, ahol gyakran használnak QR-kódokat.
Hogyan védekezzünk?
- Fizessünk (RFID) ügyfélkulccsal, feltöltőkártyával, érintésmentesen bankkártyával vagy applikáción keresztül!
- Ha mégis QR kódot használunk, ellenőrizzük a weboldal eredetiségét! A hamis weblap URL címében gyakran apró különbségek találhatók az eredeti címhez képest.
- Jelentsük a gyanús QR kódokat a töltőállomás üzemeltetőjének! Ezzel megelőzhetjük, hogy mások áldozatul essenek.
