去年，一些研究人员发现了一种新的在线钓鱼活动，利用二维码将受害者重新定位到在线钓鱼登录页面，有效避免了旨在防止此类攻击的安全解决方案和控制措施。例如，去年法国在线钓鱼攻击背后的攻击者使用了二维码编码URL绕过分析和防止可疑的安全软件。由于二维码发布没有限制，二维码生成器可以随时从互联网上获取，因此很容易被一些罪犯利用，发布虚假信息进行欺诈。
目前，二维码诈骗主要包括三种形式
1.收集二维码。攻击者将攻击者收集的二维码贴在正式二维码旁边。一旦用户不清楚地识别扫描假二维码，他们就会跳转到转账界面。
2.钓鱼网站欺骗信息。直接转账很容易被高度警惕的用户发现。一些攻击者制作了高度模仿官方网站的钓鱼页面，以提高身份认证的名义吸引用户主动填写个人身份信息和银行卡信息，从而进一步实施准确的欺诈甚至盗窃网上银行。
3.山寨App藏木马。以自行车共享为例，自行车共享租赁必须使用App，攻击者设计了假租车App二维码粘贴在自行车上，提示用户“更新”。扫码后，用户似乎安装了租车软件，但手机却植入了木马。
由于肉眼无法区分二维码的真实性，手机用户在扫描代码时必须小心，最重要的是不要扫描代码。
事实上，目前，用户的账户信息不一定是最有价值的，但用户的一些食品、服装、住房、交通、健康、财务信息和其他信息更有价值。因为这些消费数据可以完全跟踪一个人，全面分析一个人。
很多人没有意识到你的个人信息和数据经常在不经意间被泄露。例如，在公共场所免费连接wifi，扫描促销二维码等，可能会导致流量劫持、中间人攻击、手持终端入侵。
应该注意什么，以及如何保护自己免受这些恶意二维码的攻击？
二维码的促销成本非常低，几乎可以应用于任何地方，这就是为什么从零售到医疗保健的所有行业现在都使用它们作为快速和简单的方式连接人们到网站、促销活动、商店折扣、患者医疗记录、移动支付和许多其他事情。
二维码不仅成本高，使用方便。它们也是必不可少的，尤其是在疫情爆发期间，非接触式交易已经成为常态。此外，现代几乎每个人都有智能手机，几乎所有的智能手机都可以在没有第三方应用的情况下读取二维码。
MobileIron最近，为了更好地了解当前二维码的发展趋势，9月份对美国和英国2100多名消费者进行了跟踪调查，证明二维码在今天得到了更广泛的应用。例如，在过去的六个月里，超过三分之一的手机用户在餐厅、酒吧、零售商或消费品上扫描二维码。
关于MobileIron
MobileIron第一个通过行业无处不在的企业(Everywhere Enterprise),并以移动设备为中心的安全平台,重新定义企业安全性。在无处不在的企业中,公司数据可在云中的设备和服务器之间自由流动,从而使工作人员在任何需要的地方都能高效地工作。为了在这种无边界的企业中实现安全访问并保护数据,MobileIron采用了“零信任”该方法假设网络中存在不良行为者，并安全访问原因“永不信任，永不验证”确定模型。
调查结果还显示了一些令人担忧的趋势：手机用户并不真正了解二维码的潜在风险，近四分之三（71%）的受访者无法区分合法二维码和恶意二维码。与此同时，超过一半（51%）的受访者不知道他们的设备上是否有移动安全保护程序。
二维码似乎总是我们生活的一部分，但我们没有考虑太多。移动设备使我们习惯于在工作、购物、吃饭和其他事情上分散注意力：滑动→点击→点击→支付。
这是黑客生存的隐藏信任和轻率行为，这就是为什么如果移动员工使用他们的个人设备访问业务应用程序并扫描可能存在风险的二维码IT该部门应开始更仔细地研究其移动安全方法。
那么，二维码的风险是什么呢？
解决一个真正的二维码需要一些技能来改变代码矩阵中的像素点，所以黑客找到了一个简单的方法，比如在二维码中嵌入恶意软件（可以由互联网上广泛使用的免费工具生成）。对于普通用户来说，这些代码看起来是一样的，但恶意的二维码可以将用户重新定位为虚假网站。它还可以捕获个人数据或在智能手机上安装恶意软件，以启动以下操作：
添加联系人列表：黑客可以在用户的手机上添加新的联系人列表，并使用它来发起鱼叉网络钓鱼或其他个性化攻击。
1.启动电话呼叫：通过触发对欺诈者的呼叫，这种类型的使用可以将电话号码暴露给攻击者。
2.向某人发送短信：用户的联系人除了向恶意收件人发送短信外，还可以从诈骗者那里收到恶意短信。
3.编写电子邮件：类似于恶意文本，黑客可以起草电子邮件并填写收件人和主题线。如果设备缺乏移动威胁保护，黑客可能会针对用户的工作电子邮件。
4.付款:如果二维码是恶意的，黑客可能会自动发送付款，窃取用户的个人财务数据。
5.显示用户位置：恶意软件可以静静地跟踪用户的地理位置，并将数据发送到应用程序或网站。
6.关注社交媒体账户：引导用户关注恶意账户，从而暴露用户的个人信息和联系方式。
7.添加首选的Wi-Fi网络：感染网络可以添加到设备的首选网络列表中，包括自动将设备连接到网络的凭证。
事实上，我们可以采取一些简单的防御措施来降低二维码攻击的风险
这些攻击虽然可怕，但并非不可避免。让用户了解二维码的风险是一个很好的开始，但企业还需要加强移动安全保护，以抵御鱼叉网络钓鱼和设备接管的威胁。
用户能做些什么来防止二维码攻击？
首先，请仔细检查：确保二维码是合法的，特别是打印的二维码，因为这些二维码可能会粘贴另一个潜在的恶意码。
仅从可信对象扫描代码：移动用户应坚持仅从可信发件人扫描代码。请注意危险标志，如网站和公司URL不同的网站很可能会重新定向恶意网站。
注意bit.ly(短网站)链接:扫描二维码后检查显示bit.ly链接的URL，这些链接通常用于伪装恶意URL，但可以通过URL末尾加个加号（“ ”）来安全地预览它们。
公司能做些什么来防止二维码攻击？
希望公司尽快使用设备上的移动威胁防御解决方案，可以防止网络钓鱼攻击、设备接管、中间攻击和恶意应用下载。如果没有，请立即开始搜索。公司需要确保它部署在每个访问业务应用程序和数据的设备上。
如果你什么都不做，现在是时候考虑消除基于密码的业务和云应用程序访问了，这是当今数据泄露的主要原因之一。通过转向无密码多因素身份验证，您不仅避免了被盗密码的威胁，而且还消除了维护密码的麻烦，使每个人（黑客除外）更加快乐和高效。
本文翻译自：https://threatpost.com/qr-codes-sneaky-security-threat/159757/如转载，请注明原始地址：