はじめに
QRコードは便利なテクノロジーですが、攻撃者がその利便性を悪用して新たな脅威を生み出しています。最近の報告によると、QRコードが攻撃の武器として悪用されるケースが増えていることが明らかになっています。
攻撃者は、不正な目的でQRコードを生成し、人々に偽の情報を提供することで悪意を持った行動をとることがあります。偽のQRコードを読み取ると、個人情報や機密データへのアクセスが可能になるおそれがあります。さらに、リンク先を偽装してフィッシング詐欺に利用する手口も確認されており、注意が必要です。
QRコードを安全に利用するためには、信頼できるソースからのみQRコードをスキャンし、システムやアプリの脆弱性を最新の状態に保つことが不可欠です。また、不審な挙動や情報の要求がある場合には慎重に対処し、知識を深めることも重要です。
このような新たな脅威に対抗するためには、個人と組織がセキュリティ意識を高め、定期的な教育と訓練を受けることが欠かせません。QRコードの便益を享受しつつも、その悪用に対するリスクを理解し、適切な対策を講じることが大切です。
出典元記事の翻訳
Sujatha による記事です。
さまざまな業界において、Microsoftクレデンシャルを標的とする重要なQRコードフィッシングキャンペーンが次々と発見されています。
特に、米国に拠点を置く大手エネルギー会社はこの攻撃の最前線にあり、進化する脅威に対抗するための堅牢なセキュリティ慣行の重要性が求められています。
この記事では、キャンペーン、そのターゲット、戦術、および潜在的な対策の詳細な分析を提供します。
QRコードフィッシングの台頭
2023年５月以降、フィッシング検出会社であるCofenseは、QRコードを利用してユーザーをだましてMicrosoftの資格情報を侵害する高度なフィッシングキャンペーンを追跡しています。
キャンペーンの最も顕著な被害者は米国の大手エネルギー会社であり、観測された悪意のあるQRコードメールの内の29%近くを占める、1,000通以上に及んでいます。
影響を受ける他の業界には、製造、保険、テクノロジー、金融サービスが含まれ、キャンペーントラフィックのそれぞれ15%、9%、7%、6%を占めています。
これらのQRコードには、Microsoftのセキュリティ通知を装ったフィッシングリンクまたはリダイレクトが含まれています。
QRコード・キャンペーンの正体
キャンペーンでは、ユーザーにQRコードのスキャンを促すPNGまたはPDFの添付ファイルを含む電子メールの送信が行われます。
QRコード画像サンプル
（画像はいずれも元記事より引用 https://cybersecuritynews.com/attackers-weaponizing-qr-codes/）
従来のフィッシングリンクとは異なり、フィッシングリンクはQR画像内に隠されているため、QRコードは受信トレイに到達する可能性が高くなります。この画像は、添付ファイル(多くの場合、PNGまたはPDFファイル)に埋め込まれます。
この秘密の配信方法は、セキュリティフィルターをバイパスし、ユーザーの好奇心を利用することを目的としています。
企業への影響
キャンペーンが大手エネルギー会社を標的にすることに焦点を当てていることは、脅威の重大さを強調しています。
憂慮すべき傾向は、キャンペーンの目覚ましい成長率であり、月ごとの平均増加率は270%を超えています。
キャンペーンの大部分は、このMicrosoftが所有するドメインの正当性を利用して、BingリダイレクトURLを採用しています。
Bing リダイレクト URL
（画像は元記事より引用 https://cybersecuritynews.com/attackers-weaponizing-qr-codes/）
krxd[.]com（Salesforceに関連）やcf-ipfs[.]com（CloudflareのWeb3サービス）などのドメインが使用されていることから、悪意のある目的のために信頼できるドメインを悪用しようとする巧妙な試みが行われていることがわかります。
当初はエネルギー会社が主な標的でしたが、いまやフィッシング・キャンペーンはエネルギー業界全体を大きなターゲットとして、より広範な業界にアプローチしています。
最新のモバイルデバイスはある程度のQRコード検証を提供しますが、ユーザー教育は依然として重要な要素です。従業員には、電子メールに含まれるQRコードをスキャンしないよう、また見慣れないコンテンツに接する際には注意を払うよう教育する必要があります。
セキュリティチームは、悪意のあるQRコードを検出してブロックするために、QRスキャナーや画像認識などの自動化ツールを検討する必要があります。
出典元
Attackers Weaponizing QR Codes to Steal Employees Microsoft Credentials
https://cybersecuritynews.com/attackers-weaponizing-qr-codes/
注意書き
本ブログでは、個人的な情報収集・学習を目的に元の記事を翻訳・要約して掲載していますが、記事内容の正確性について、当方は一切の責任を負いません。必ず出典元の情報をご確認の上、各自の責任にてご利用ください。
コメント