Безопасно ли сканировать QR-коды

Рекламный ролик Coinbase Super Bowl с прыгающим QR-кодом, установленным на музыку, был настолько популярен, что вызвал временный сбой приложения криптовалюты.

Что это говорит нам о том, как используются эти коды и насколько безопасно их сканирование?

Профессор компьютерных наук Wake Forest Сарра Алкахтани отвечает на вопросы о QR-кодах, киберпреступности и о том, как обеспечить безопасность вашей личной информации.

Как профессор компьютерных наук, изучающий кибербезопасность, как вы отреагировали на рекламу Coinbase?

Это был забавный рекламный ролик, но я сразу же начал думать о том, насколько стандартизированной становится эта технология без эквивалентного понимания проблем ее безопасности.

Как и в случае с любой новой технологией, о безопасности обычно забывают не только разработчики, но и пользователи. Я надеюсь, что я попытаюсь рассказать людям о проблемах безопасности QR-кода и о том, как защитить свою конфиденциальность.

Насколько вероятно, что личная информация может быть скомпрометирована путем сканирования QR-кода?

QR-код может быть заменен вредоносным (самый простой способ — физически вставить один код поверх другого), что может привести пользователя к поддельному веб-сайту, внешне похожему на оригинальный веб-сайт.

Затем хакер может установить небольшое программное обеспечение (вредоносное ПО) в телефон пользователя, чтобы отслеживать и собирать его данные.

Что хакеры делают с украденной информацией?

Они могут украсть имена пользователей и пароли, которые мы используем в различных приложениях и на веб-сайтах, и продать их в даркнете.

Эти данные можно использовать для угадывания учетных данных пользователя/сотрудника во время других атак, например, в случае атаки программы-вымогателя Colonial Pipeline.

Есть ли способ узнать, безопасен ли QR-код?

Мы не можем распознать никакой разницы между законным и вредоносным кодом нашими глазами, но когда мы сканируем код, мы должны обратить внимание на ссылку веб-сайта, прежде чем нажимать на нее.

Вот почему рекомендуется включать ссылку на сайт с кодом, когда вы делитесь им публично.

На что мы должны обращать внимание при проверке URL-адреса перед нажатием?

Если существует угроза безопасности, URL-адрес будет похож на исходный URL-адрес, но с небольшими изменениями.

Например, вместо www.yahoo.com хакер может использовать yaho0.com, который выглядит очень похоже.

Этот вид уловки относится к области фишинговых атак, которые имеют долгую историю в области кибербезопасности.

Каков ваш лучший совет по защите личной информации при использовании QR-кодов?

Я рекомендую по возможности не сканировать QR-коды и пользоваться бумажными руководствами и меню.

Я также советую использовать встроенные камеры в смартфонах вместо использования сторонних приложений, поскольку встроенные камеры показывают ссылку на веб-сайт и просят пользователя нажать на нее, чего обычно не бывает со сторонними приложениями.

Если вы подозреваете, что открыли поддельный веб-сайт и установили вредоносное ПО, что вам следует делать?

Это зависит от телефона, который вы используете, но в целом вам следует очистить кеш браузера, создать резервную копию файлов, изменить свои учетные данные.

Если в вашем телефоне нет встроенной защиты, вам потребуется использовать программное обеспечение для обнаружения вредоносных программ, чтобы обнаруживать и удалять любые вредоносные программы.

У вас есть книга или ресурс, который вы могли бы порекомендовать тем, кто хочет узнать больше о QR-кодах?

Прочтите объявление ФБР для государственной службы «Киберпреступники подделывают QR-коды для кражи средств жертв».

Автор Ким МакГрат.