Códigos QR estão sendo explorados veja como reduzir o risco
Os invasores estão aproveitando o uso crescente de códigos QR para roubar informações confidenciais ou conduzir campanhas de phishing. Aqui está o que as equipes de segurança e os funcionários precisam saber.
Entre os muitos impactos tecnológicos da pandemia de coronavírus está um aumento no uso de códigos QR. Naturalmente, os malfeitores estão aproveitando essa oportunidade e as vulnerabilidades dessa tecnologia móvel para lançar ataques. As equipes de segurança precisam estar atentas a essa ameaça.
Um relatório de pesquisa divulgado pelo provedor de plataforma de segurança móvel MobileIron em setembro de 2020 mostra que os códigos QR representam riscos de segurança “significativos” para empresas e usuários finais. A empresa entrevistou mais de 2.100 consumidores nos EUA e no Reino Unido, e quase metade (47%) disse ter notado um aumento no uso do código QR. Isso ocorre em grande parte porque os códigos tornam a vida mais fácil em um mundo no qual as transações sem contato se tornaram desejadas ou necessárias.
A maioria dos entrevistados, 84%, disseram que leram um código QR, com um terço mais recentemente tendo lido um código QR na semana passada. Os consumidores leram códigos em lojas de varejo, restaurantes, bares e outros estabelecimentos, e muitos querem ver os códigos QR usados de forma mais ampla como método de pagamento no futuro.
Ao mesmo tempo, observou o relatório, mais pessoas estão usando seus próprios dispositivos inseguros para se conectar com outras pessoas, interagir com uma variedade de aplicativos e serviços baseados em nuvem e permanecer produtivos enquanto trabalham remotamente. Eles também estão usando seus dispositivos móveis para escanear códigos QR para tarefas diárias, colocando a si próprios e os recursos da empresa em risco.Gerenciando riscos de segurança do Windows 7https://imasdk.googleapis.com/js/core/bridge3.416.2_en.html#goog_1207184753Volume 0%
A exploração de QR é simples e eficaz
Os invasores estão aproveitando as brechas de segurança durante a pandemia, afirma o relatório, e visando cada vez mais os dispositivos móveis com ataques sofisticados. Os usuários costumam se distrair quando estão em seus dispositivos móveis, o que os torna mais propensos a serem vítimas de ataques.
A exploração de QR é simples e eficaz
Os invasores estão aproveitando as brechas de segurança durante a pandemia, afirma o relatório, e visando cada vez mais os dispositivos móveis com ataques sofisticados. Os usuários costumam se distrair quando estão em seus dispositivos móveis, o que os torna mais propensos a serem vítimas de ataques.
Os invasores podem incorporar facilmente uma URL maliciosa contendo malware personalizado em um código QR que pode exfiltrar dados de um dispositivo móvel quando verificado, diz o relatório. Eles também podem incorporar um URL malicioso em um código QR que direcione para um site de phishing e incentive os usuários a divulgar suas credenciais.
“Por sua própria natureza, os códigos QR não são legíveis por humanos. Portanto, a capacidade de alterar um código QR para apontar para um recurso alternativo sem ser detectado é simples e altamente eficaz ”, disse Alex Mosher, vice-presidente global da MobileIron.
Quase três quartos dos entrevistados no estudo não conseguem distinguir entre um código QR legítimo e malicioso. Embora a maioria esteja ciente de que os códigos QR podem abrir uma URL, eles estão menos atentos às outras ações que os códigos QR podem iniciar, disse o relatório.
Os ataques a dispositivos móveis ameaçam indivíduos e empresas, afirma Mosher. “Um ataque bem-sucedido ao dispositivo móvel pessoal de um funcionário pode resultar no comprometimento das informações pessoais ou no esgotamento dos recursos financeiros, bem como no vazamento de dados corporativos confidenciais”, afirma.
Como os invasores exploram os códigos QR
O que pode tornar as ameaças à segurança do código QR especialmente problemáticas é o elemento surpresa entre os usuários desavisados. “Não estou ciente de nenhum ataque direto aos códigos QR, mas há muitos exemplos de invasores que utilizam seus próprios códigos QR no decorrer dos ataques”, disse Chris Sherman, analista sênior do setor da Forrester Research.
“O principal problema é que os códigos QR podem iniciar várias ações no dispositivo do usuário, como abrir um site, adicionar um contato ou redigir um e-mail, mas o usuário geralmente não tem ideia do que acontecerá quando ler o código”, diz Sherman. . “Normalmente, você pode visualizar o URL antes de clicar nele, mas nem sempre é o caso com os códigos QR.”
Um ataque comum envolve colocar um código QR malicioso em público, às vezes encobrindo um código QR legítimo, e quando os usuários desavisados escaneiam o código, eles são enviados para uma página da web maliciosa que pode hospedar um kit de exploração, diz Sherman. Isso pode comprometer ainda mais o dispositivo ou possivelmente uma página de login falsificada para roubar as credenciais do usuário.
“Essa forma de phishing é a forma mais comum de exploração de QR”, diz Sherman. A exploração do código QR que leva ao roubo de credenciais, comprometimento do dispositivo ou roubo de dados e vigilância maliciosa são as principais preocupações tanto para empresas quanto para consumidores, diz ele.
Se os códigos QR levarem a sites de pagamento, os usuários podem divulgar suas senhas e outras informações pessoais que podem cair nas mãos erradas. “Muitos sites fazem download drive-by, então a mera presença no site pode iniciar o download de software malicioso”, diz Rahul Telang, professor de sistemas de informação do Heinz College da Carnegie Mellon University.
“Dispositivos móveis em geral tendem a ser menos seguros do que laptops ou computadores”, diz Telang. “Como os códigos QR são usados em dispositivos móveis, [a] possibilidade de vulnerabilidade também é maior.” Como muitos desses dispositivos móveis são usados no contexto de TI corporativa, a infiltração dos dispositivos pode se tornar um ponto fraco de segurança para as organizações, diz ele.
Recentemente, o CEO de uma empresa de tecnologia britânica alertou o governo do Reino Unido sobre potenciais falhas graves na segurança de informações pessoais e dados usados em um novo aplicativo de rastreamento de contatos que depende da tecnologia de leitura de código QR. A tecnologia pode estar sujeita a um processo chamado “attagging” ou clonagem, de acordo com Louis James Davis, CEO da VST Enterprises. Com o attagging, um código QR genuíno é substituído por um código QR clonado que redireciona os usuários a um site semelhante, onde os dados pessoais podem ser interceptados e violados.
Como mitigar o risco de explorações de código QR
Indivíduos e organizações podem tomar medidas para ajudar a mitigar o risco de ameaças à segurança do código QR. Parte disso envolve o uso do bom senso.
Por exemplo, os usuários podem fazer determinações sobre a legitimidade dos códigos antes de digitalizá-los. “ Antes de escanear um código, especialmente um em material impresso em um local público, certifique-se de que ele não foi colado com um código diferente – e potencialmente malicioso”, diz Mosher.
Na verdade, é melhor não usar códigos QR que pareçam ter sido alterados de alguma forma, diz Sherman.Nunca faça login em um aplicativo usando um código QR.
Além disso, “preste atenção ao URL para o qual você está sendo direcionado, embora isso nem sempre seja possível fazer antes de visitar o site, pois alguns códigos não mostram o URL de antemão”, diz Sherman. “Nunca faça login em um aplicativo usando um código QR.”
Como os ataques de phishing estão entre os riscos mais significativos dos códigos QR, os usuários precisam estar atentos para se certificar de que estão em um site legítimo, diz Telang. “As empresas devem ser cuidadosas e ter uma solução de endpoint unificada que lhes dê a capacidade de proteger todos os dispositivos sem afetar a produtividade”, diz ele.
Também é fundamental ter segurança de dispositivo, como defesa contra ameaças móveis e proteção contra exploits em todos os dispositivos usados para acessar recursos corporativos, acrescenta Sherman.
Outra boa prática é garantir que a organização que apresenta os códigos QR ao público seja legítima. “Se a fonte do código QR parecer incompleta, não faça a leitura”, diz Mosher. É melhor evitar URLs diferentes do URL legítimo de uma empresa, especialmente se redirecionar um usuário para um site diferente, diz ele.
Em geral, as equipes de segurança cibernética e de TI – e as empresas como um todo – precisam estar cientes dos riscos envolvidos com os códigos QR. Isso é especialmente verdadeiro com o uso crescente de dispositivos e aplicativos móveis.
“O uso de dispositivos móveis se tornou muito mais prevalente, especialmente durante esta pandemia”, diz Telang. “Adicione isso ao fato de que o uso do código QR também explodiu. É natural que hackers inescrupulosos tentem tirar proveito de ambos os fatos. ”
