FBI on ameeriklastele välja andnud uue hoiatuse, et nad peaksid nutitelefoniga QR-koodide skannimisel olema ettevaatlikud, sest küberkurjategijad võltsivad koode sisselogimis- ja finantsteabe varastamiseks.
QR-kood – ruudukujuline vöötkood, mida inimesed saavad oma nutitelefoni kaameratega skannida – võib pakkuda kiiret ja mugavat juurdepääsu veebisaidile või otsemaksele ettenähtud saajale.
Ettevõtted kasutavad QR-koode, et pakkuda kontaktivaba juurdepääsu teenustele, näiteks võimaldades juurdepääsu nutitelefoni restoranide menüüelementidele, mida saab seejärel mugavalt tellida.
FBI teatas aga jaanuari lõpus esialgses hoiatuses, et avastas, et küberkurjategijad võltsivad nii füüsilisi kui ka digitaalseid QR-koode, et vahetada need pahatahtlike koodide vastu, mis skannimisel kujutavad endast kasutajatele ohtu.
“Kahjuks on need suhteliselt laialt levinud,” ütles FBI küberdivisjoni osakonnaülema abi Stephanie Walker 16. veebruaril ABC Newsile, kusjuures agentuur kordas oma üleskutset inimestele olla QR-koodide skannimisel ettevaatlik.
Kurjategijad kasutavad muudetud pahatahtlikke QR-koode, et suunata inimesi pahatahtlikele saitidele, et varastada nende andmeid, tungida ohvrite seadmetesse, manustades neile pahavara, või suunata maksed ümber kohese rahalise kasu saamiseks.
“Mis juhtub, kui skannite QR-koodi, mis pole see, mida peaksite skannima, on see, mis võib anda kurjategijale juurdepääsu teie telefonile, mis võimaldab neil seejärel juurdepääsu kõigile rakendustele, mida tavaliselt kasutate,” ütles pr Walker.
“Samuti võib see kukutada mingisuguse arvuti sissetungimise tüüpi tarkvara, mis võib teie telefoni muuta ja mandaate varastada.”
FBI selgitas oma varasemas hoiatuses, et pärast juurdepääsu saamist isiku andmetele ja muule finantsteabele saavad küberkurjategijad seda kasutada ohvrikontodelt raha väljavõtmiseks.
“Õiguskaitseorganid ei saa tagada kaotatud raha tagasisaamist pärast ülekannet,” teatas FBI.
FBI El Paso osakond ütles 2023. aasta septembris, et agentuur hakkas 2022. aastal saama teateid, et inimesed langevad QR-koodi pettuste ohvriks, kusjuures krüptorahapettused on eriti murettekitav valdkond.
Kuna krüptotehinguid tehakse sageli krüptokontodega seotud QR-koodide kaudu, muudab see sellised tehingud “lihtsaks märgiks”, ütles FBI toona.
Leiti, et petturid kasutasid pahatahtlikke QR-koode ja kinkekaarte ühe võtte osana.
“Petturid võivad helistada ja öelda, et saadavad teie telefonile QR-koodi, et saaksite tasuta 100-dollarise kinkekaardi. Tegelikkuses võib QR-kood viia teid pahatahtlikule veebisaidile,” teatas FBI El Paso osakond.
“Kui teete makse halva QR-koodi kaudu, on nende vahendite tagasisaamine keeruline, kui mitte võimatu.”
Enda kaitsmine
FBI pakkus mitmeid näpunäiteid, kuidas vältida QR-koodi pettuse ohvriks langemist.
Esiteks ütleb agentuur, et inimesed peaksid tagama, et QR-i skannimisel ilmuv veebisaidi aadress või URL näib olevat seaduslik ja on kavandatud sait. Pahatahtlikud domeenid võivad jäljendada soovitud URL-i, kuid neil on väikesed muudatused, näiteks kirjavead või valesti paigutatud tähed.
Samuti kutsutakse inimesi üles olema ettevaatlikud tundliku teabe esitamisel pärast QR-koodi skannimist, eriti sisselogimis- või finantsandmed.
FBI ütleb, et füüsilise QR-koodi skannimisel peaksid inimesed kontrollima, et koodi pole rikutud, näiteks lisades kleebise peale.
Samuti hoiatab agentuur rakenduste allalaadimise eest otse QR-koodidest. Selle asemel ütleb FBI, et inimesed peaksid turvalisemate allalaadimiste saamiseks lootma oma telefoni rakenduste poele.
Kui teil palutakse ebaõnnestunud tehingut väitvas e-kirjas QR-koodi kaudu makse sooritada, peaksid inimesed FBI sõnul sõnumi autentsuse kinnitamiseks otse ettevõttega ühendust võtma. Samuti peaksid nad hankima ettevõtte kontaktandmed usaldusväärsest allikast, mitte QR-koodi sisaldavast e-kirjast.
Lisaks peaksid inimesed vältima QR-koodi skanneri rakenduste allalaadimist, et minimeerida pahavara ohtu. Enamikul nutitelefonidel on kaamerarakendustes sisseehitatud QR-koodi skannimise funktsioonid.
Üldiselt soovitab FBI inimestel vältida maksete tegemist QR-koodist navigeeritud saidi kaudu. Selle asemel on turvalisem valik teadaoleva ja usaldusväärse URL-i käsitsi sisestamine makse lõpuleviimiseks.
