今日のデジタル時代では、QR コードは私たちの日常生活にシームレスに統合されており、スキャンするだけで情報、Web サイト、サービスにすばやくアクセスできます。しかし、その便利さはサイバー犯罪者に気づかれていないわけではありません。サイバー脅威の状況で増加傾向にあるのは、QR コード フィッシングまたは「クイッシング」として知られる手法であるフィッシング攻撃に QR コードを利用することです。
この記事では、QR コード フィッシングのニュアンス、関連するリスク、および組織がこの増大する脅威から身を守る方法について説明します。
クイッシングとは?
クイッシュ (QR コード フィッシング) では、QR コード内に悪意のある URL を埋め込みます。ユーザーがこれらのコードをスキャンすると、ログイン資格情報、個人データ、財務情報などの機密情報を盗むように設計されたフィッシングWebサイトに誘導されます。ユーザーが電子メールやテキストメッセージ内の悪意のあるリンクをクリックすることに依存する従来のフィッシング攻撃とは異なり、クイッシングはQRコードが刺激できる信頼と好奇心を利用します。
クイッシングのメカニズム
クイッシュには通常、QR コード内に悪意のある URL を埋め込むことが含まれます。このQRコードをスキャンすると、被害者は資格情報や個人情報を盗んだり、マルウェアを展開したりするように設計されたフィッシングサイトにリダイレクトされます。これらの攻撃の巧妙さは、QRコードは通常、プレーンテキストのURLのように精査されないため、従来の電子メールセキュリティ対策を回避できることにあります。
メールベースのQRコードフィッシング: サイバー犯罪者は、一見正当なメールに悪意のあるQRコードを埋め込むことがよくあります。これらの電子メールは、金融機関、サービスプロバイダー、企業体などの信頼できるソースからのものであると主張する場合があります。QR コードは、アカウントの詳細の確認、安全なドキュメントへのアクセス、調査への参加など、さまざまな理由で受信者にスキャンを求める場合があります。
フィジカルとデジタル Media: 悪意のあるQRコードは、ポスター、チラシ、その他の物理メディアにも見られます。さらに、ソーシャルメディア、SMS、またはその他のデジタルプラットフォームを通じて配布できるため、潜在的な被害者の範囲が広がります。
QRコードフィッシングが重要インフラ組織に及ぼす影響
2023 年 5 月、QR コードを使用したフィッシング キャンペーンが米国の大手エネルギー会社を標的にしました。このキャンペーンは、さまざまな業界のユーザーからMicrosoftの資格情報を盗むことを目的としていました。特に、このエネルギー会社は、悪意のあるQRコードを含む 1,000通以上の電子メールの約29% を受信し、製造、保険、テクノロジー、金融サービスも大きく標的にされました。
フィッシングメッセージには、PNG画像またはPDF添付ファイルにQRコードが含まれており、受信者にコードをスキャンしてアカウントを確認するように促していました。この方法は、悪意のあるリンクがQR画像内に隠されているため、フィッシング対策ソリューションをバイパスします。このキャンペーンは、2023 年 5 月以降 2,400% 以上成長していることが確認されており、脅威アクターが QR コードの有効性をテストしていることを示唆しています。FBIはこのような攻撃に対して警告を発し、スキャンしたQRコードから取得したURLの警戒と慎重な検証を推奨しています。
ここでは、QR コード フィッシングが重要インフラ組織、またはそのクライアントや顧客に対して使用される他の 3 つの方法を紹介します。
金融セクター目標
大手銀行の顧客は、新しいセキュリティ機能用と称するQRコードが記載されたメールを受信します。これらのコードをスキャンすると、銀行のログインページを模倣したサイトが誘導され、口座の詳細と個人情報が取得されます。この事件は、多額の経済的損失をもたらし、銀行の評判を傷つけました。
企業人事詐欺
多国籍企業の従業員は、人事部から送信されたように見える電子メールを受信し、「必須の調査」にリンクされたQRコードが記載されます。しかし、調査ページは、従業員の資格情報を盗むように設計されたフィッシングサイトです。この侵害により、企業の機密データへの不正アクセスが発生します。
医療データ侵害
医療機関の患者は、QR コードを含む予約リマインダーを受け取ります。これらのコードをスキャンすると、患者ポータルの偽のログインページにリダイレクトされ、医療記録と個人の健康情報が危険にさらされます。
高まる脅威の状況
InfoSecurity Magazine のレポートによると、QR コード フィッシング攻撃が大幅に増加しています。2022 年だけでも、 フィッシング攻撃の 22% が QR コードに関係しています。この増加は、QR コードの使用の増加と、QR コードが比較的簡単に悪用できることに起因しています。サイバー犯罪者は、多くのユーザーがQRコードのスキャンに関連する潜在的な危険性に気づいていないため、簡単に標的にされていることを認識しています。
リモートワークやデジタル取引の増加も、QRコードフィッシングの増加の一因となっています。在宅勤務の従業員は、従来のオフィス環境と同じレベルの精査なしでQRコードをスキャンする可能性が高くなります。さらに、オンライン取引の急増により、サイバー犯罪者が悪意のあるQRコードを配布する機会が増えています。
ここでは、QRコードフィッシングの増加に寄与する上位3つの要因を紹介します。
QRコードフィッシングの影響
クイッシング攻撃が成功すると、個人と組織の両方に深刻な影響が及ぶ可能性があり、次のような結果になります。
- データ侵害: 個人データ、財務情報、企業資格情報などの機密情報への不正アクセス。
- 金銭的損失: 不正な取引やランサムウェアによる直接的な金銭的損失。
- 風評被害: 顧客やパートナーからの信頼を失い、長期的なビジネスに影響を与える可能性があります。
リアルタイムのフィッシング対策によるリスクの軽減
クイッシング攻撃の巧妙な性質を考えると、組織はこれらのリスクを軽減するための包括的な戦略を採用する必要があります。QR コード フィッシングに対抗する最も効果的な方法の 1 つは、リアルタイムのフィッシング対策ソリューションを使用することです。 OPSWATのリアルタイムフィッシング対策防御レイヤーは、次のテクノロジーを使用してフィッシング攻撃に対する堅牢な保護を提供することで、電子メールのセキュリティを大幅に強化できます。
クリック時間分析
クリック時に30以上のオンラインソースを使用してリンクレピュテーションチェックを実施します。これにより、QRコードが最初に安全に見えた場合でも、リンクされたURLへのその後の変更が検出され、ブロックされます。
QRコードのスキャンと書き換え
メールに埋め込まれたQRコードをスキャンし、悪意のあるURLを書き換えて、ユーザーがフィッシングサイトにリダイレクトされるのを防ぎます。
高い検出率
99.98%の検出率を誇るこのソリューションは、スパムやフィッシング攻撃に対する比類のない保護を提供します。包括的なリンクレピュテーションチェックとリアルタイム分析により、フィッシング詐欺の被害に遭うリスクが大幅に軽減されます。
多層検出
高度なヒューリスティックと機械学習アルゴリズムを利用して、フィッシングの試みを特定してブロックします。この多層的なアプローチにより、最も巧妙なフィッシング攻撃も確実に検出され、無力化されます。
実装 OPSWATのリアルタイムフィッシング対策ソリューションには、次のようないくつかの利点があります。
セキュリティ強化
フィッシング攻撃に対する堅牢な保護レイヤーを追加することで、企業は機密情報を保護し、システムへの不正アクセスを防ぐことができます。
安心安全
従業員は、悪意のあるリンクがリアルタイムで検出されてブロックされることを知っているため、フィッシング詐欺の被害に遭うことを恐れずにQRコードを使用できます。
コンプライアンス
規制の厳しい業界の企業にとって、高度なフィッシング対策ソリューションを実装することで、データのセキュリティとプライバシーに関連するコンプライアンス要件を満たすことができます。
従業員の教育と意識向上
さらに、QR コードに関連するリスクと疑わしいコードの認識方法について従業員を教育することを強くお勧めします。トレーニングには次のものを含める必要があります。
検証： QR コードをスキャンする前に、QR コードの出所を確認するよう従業員に促します。QR コードを電子メールで受信したり、通常とは異なる場所で見つかったりした場合は、その正当性を再確認する必要があります。
URL インスペクション: QR コードが指示する URL を調べるように従業員に教えます。正規のURLは、フィッシングサイトを示す可能性のある異常やスペルミスがないか精査する必要があります。
まとめ
QR コードの使用が増加し続けるにつれて、QR コード フィッシングの脅威も高まります。サイバー犯罪者は常に戦術を進化させており、企業は時代を先取りすることが不可欠です。
QRコードフィッシングのリスクを軽減するには、従業員の教育、高度なEメールセキュリティソリューションの導入、リアルタイムのアンチフィッシング技術の活用が重要なステップとなります。このような事前対策を講じることで、企業は進化する脅威の状況に対応し、デジタル資産のセキュリティを維持するための十分な体制を整えることができます。
OPSWATの革新的なソリューションがお客様の重要なインフラをどのように安全に保つことができるか、今すぐ専門家にご相談ください。
