Utilização de códigos QR fraudulentos continua a crescer

A Sophos divulgou os resultados de uma investigação da sua equipa Sophos X-Ops sobre um novo tipo de ameaça: o quishing. Este novo vetor de ataque envolve a utilização de códigos QR fraudulentos enviados por e-mail pelos cibercriminosos para contornar as medidas de segurança contra phishing implementadas pelas empresas.

Estes códigos QR fraudulentos, incorporados em documentos PDF anexados a e-mails, geralmente assemelham-se a mensagens sobre salários, benefícios ou outras formas de documentação oficial que uma empresa possa enviar aos seus colaboradores. Uma vez que os códigos QR não são lidos por computadores, o utilizador tem de digitalizar o código utilizando o seu telemóvel.

O código QR leva-o, então, a uma página de phishing, que a vítima pode não reconhecer como maliciosa, uma vez que os telemóveis estão normalmente menos protegidos do que os computadores. O objetivo dos atacantes é capturar as palavras-passe dos colaboradores e os seus tokens de autenticação multifator (MFA) para aceder ao sistema das empresas, contornando as medidas de segurança ativas.

“Investimos um tempo considerável a analisar todas as amostras de spam que tínhamos para encontrar exemplos de quishing”, comenta, em comunicado, Andrew Brandt, Principal Researcher da Sophos X-Ops. “A nossa investigação revelou que os ataques com este vetor específico têm vindo a intensificar-se, tanto em volume como em sofisticação, especialmente no que diz respeito ao aspeto de credibilidade dos documentos PDF”.

Para além das táticas de engenharia social, da qualidade dos e-mails, dos anexos e dos gráficos dos códigos QR, estes ataques parecem estar a crescer também em termos de organização. Na verdade, alguns cibercriminosos disponibilizam agora ferramentas as-a-service para executar campanhas de phishing através de códigos QR fraudulentos. Para além de funcionalidades como contornar os CAPTCHA ou gerar proxies de endereços IP para evitar a deteção automática de ameaças, estas organizações criminosas fornecem uma plataforma de phishing sofisticada, capaz de capturar as credenciais ou os tokens MFA dos seus alvos.