開発から19年、QRコードはニッチなバーコードの代替品から、何兆ドルもの金融取引を可能にするまでに進歩した。QRコードは物理的な世界とデジタルの世界をつないでいる。そして今、QRコードは重要なインフラを攻撃するために使われている。
URL短縮ツールや埋め込みハイパーリンクで確認したように、エンドポイントを難読化することは、人々を騙して悪意のあるコンテンツにアクセスさせるための効果的な手法です。攻撃者は、QRコードに悪意のあるリンクを埋め込み、電子メールを送信し、ソーシャルエンジニアリングのテクニックを用いるだけで、効果的なQRコードフィッシングキャンペーンを行うことができます。
攻撃者がどのようにQRコードを使って組織を攻撃しているのか、またそのような攻撃をどのように防ぐことができるのかについて説明します。
QR Code Phishing:
新たな攻撃ベクトル
これまでQRコードは、企業や重要インフラを狙うサイバー犯罪者にとっては珍しい選択肢でした。しかし、QRコードには、電子メールに直接フィッシング・リンクを埋め込むよりも優れた点がいくつかあります。QRコードの配信方法は、攻撃者がPNG画像やPDF添付ファイルの中にQRコードを埋め込むことができるため、マルウェア対策やスパムフィルタを回避し、ターゲットの受信トレイに届く可能性が非常に高くなります。
QRコードをフィッシングに利用することは、最初は直感に反するように思われるかもしれない。フィッシングを成功させるためには、被害者は携帯電話のカメラを使って別のデバイスでQRコードをスキャンしなければならないからだ。さらに、QRコードの符号化によって、そのコードが導くURLが隠蔽されるため、ユーザーはその正当性を判断することが難しくなる。
出典：リンク
2023年5月から続いている最近のフィッシング・キャンペーンでは、一連の悪質なQRコードを放ち、無防備なユーザーからマイクロソフト・アカウントの認証情報を取得している。最も注目すべき標的は、米国に拠点を置く著名なエネルギー企業である。
しかし、脅威にさらされているのはエネルギー部門だけではない。金融、保険、製造、ハイテク部門にまたがる組織もまた、脅威にさらされている。発見以来、このキャンペーンは2,400％以上という驚異的な成長を遂げている。
悪意のあるQRコードを無効化 Deep CDR™テクノロジーで
QRコード攻撃は、人間の目が符号化された情報を読み取れないという事実を悪用します。その結果、ユーザーはコードが正しいURLへ誘導するか、意図された機能を実行すると信頼してしまいます。OPSWAT Deep Content Disarm and Reconstruction Deep CDR™テクノロジーDeep Content Disarm and Reconstruction は、QRコードに符号化された人間が読めるURLを表示します。これによりユーザーはスキャン前にURLの正当性を確認できます。
Deep CDR™テクノロジーがQRコード内の脅威を無力化する仕組みを示す図解
攻撃者はユーザーを欺くため、偽装されたURLや短縮URLを頻繁に使用します。Deep CDR™MetaDefender Cloud URL RedirectでURLをスキャンし、悪意の有無を判定します。安全なURLの場合、ユーザーは目的の場所へ誘導されます。不審なURLの場合、警告が表示されます。Deep CDR™テクノロジーは任意のURLスキャンサービスと連携するよう設定可能です。
QRコードは画像ベースであることが多いため、ステガノグラフィーを用いて脅威を隠蔽することが可能です。Deep CDR™テクノロジーは、ここで実証されているように、こうした潜在的なリスクを効果的に軽減できます。
Deep CDR™テクノロジーによるQRコードのサニタイズ前後比較。左の画像には悪意のあるQRコード攻撃用のコードが埋め込まれています。右の画像はMetaDefender CDR™テクノロジーでサニタイズ済みです。
OPSWAT QRコードセキュリティのベストプラクティス
QRコードの普及と信頼性が高まるにつれ、攻撃対象領域も拡大しています。しかし、QRコードフィッシングの脅威が増大していることを認識し、適切な予防策を講じることで、ユーザーや企業は保護を維持できます。Deep CDR™テクノロジーは、この新たな攻撃ベクトルに対抗する高度なセキュリティを提供します。
QRコードの利用が増え続けるにつれ、サイバー犯罪者によるフィッシングやマルウェアのキャンペーンにQRコードを悪用した攻撃（
）も増加しています。QRコードフィッシングは、継続的な警戒の重要性と、進化し続ける脅威に対抗するための革新的なセキュリティソリューションの導入の必要性を浮き彫りにしています。
Deep CDR™テクノロジーは、QRコードの内容を抽出して検査することで、デバイスやデータが侵害される前に攻撃を遮断し、QRコードフィッシングに対する十分な防御機能を提供します。強化された意識、安全な実践、そして先進的な技術を組み合わせることで、QRコードの利便性を享受しつつ、そのリスクを軽減することが可能となります。
