O phishing de Código QR, mais comumente referido como “quishing”, é um tipo de ataque de phishing que engana usuários, fazendo-os escanear códigos QR para roubar informações pessoais, como credenciais de login ou números de cartão de crédito. Quando um usuário verifica um código QR criado para um ataque de quishing, ele é levado para um site malicioso que baixa um malware no seu celular ou solicita suas informações pessoais.
Continue lendo para entender mais sobre o quishing, como ele difere do phishing, como ele funciona, por que é perigoso, quais são os sinais de um ataque de quishing e como evitar ser vítima deste golpe.
Quishing versus phishing: qual é a diferença?
Os ataques de phishing são um tipo de ataque cibernético que engana pessoas, fazendo-as revelar suas informações pessoais. Os cibercriminosos enviam mensagens, normalmente por e-mail ou mensagens de texto, para usuários com um anexo ou link malicioso. Ao clicar no link malicioso, o usuário é levado a um site falso, que baixa um malware no seu dispositivo, ou o engana, para que ele revele suas informações pessoais.
O quishing é um tipo de ataque de phishing, mas, em vez de utilizar anexos ou links, ele utiliza códigos QR para os usuários escanearem, direcionando-os para um site malicioso. Tanto o quishing quanto o phishing tentam roubar informações pessoais de um usuário, mas diferem em seus métodos para tal.
Como o quishing funciona?
Para iniciar um ataque de quishing, cibercriminosos criam primeiro um site falso. Esses sites falsos tentam se passar por sites legítimos com o objetivo de, ao aterrissar na página, baixar malware no dispositivo do usuário ou enganar os usuários para que revelem seus dados confidenciais.
Uma vez criado o site falso, os cibercriminosos geram um código QR que leva ao site falso. Um código QR, ou de resposta rápida, é um código de barras bidimensional que contém dados codificados, como um link, e pode ser escaneado por um leitor de código de barras ou um celular.
Quando o código QR é gerado, o cibercriminoso envia o código QR por e-mail, mensagens de texto, ou o coloca em espaços públicos, como panfletos ou pôsteres, para que as vítimas escaneá-lo. Quando uma vítima escaneia o código QR, ela é direcionada para um site malicioso, que solicitará que revelem informações confidenciais.
Os perigos do quishing
Os ataques de quishing são perigosos porque podem ser facilmente criados por cibercriminosos e ocultam links maliciosos por trás de códigos QR. Códigos QR são fáceis de serem criados, podendo ser criados por qualquer pessoa. Um cibercriminoso utiliza um gerador de QR para criar o código QR e incorporar o link malicioso nele. Como o link malicioso está embutido no código QR, é difícil identificá-lo imediatamente, permitindo que ataques de quishing passem pelos filtros de spam. Por não conseguir ver o link malicioso, é fácil cair em ataques de quishing que permitem que usuários não autorizados acessem suas contas.
Sinais de um ataque de quishing
O quishing é mais difícil de detectar, pois são utilizados códigos QR em vez de links ou anexos. No entanto, ainda é possível detectar sinais de um ataque de quishing, pois eles são sinais semelhantes ao de um ataque de phishing. Estes são sinais de um ataque de quishing:
Código QR enviado de um remetente suspeito
Os ataques de quishing geralmente tentam se passar por uma empresa legítima, ou um colega, enviando um código QR para você escanear. No entanto, é possível notar inconsistências entre o nome do remetente e o endereço de e-mail, como o nome do remetente não combinando com o endereço de e-mail. O e-mail também pode ser enviado de um domínio público, como o Google ou o Yahoo.
Erros de ortografia ou gramaticais na mensagem
Se você notar erros de ortografia ou gramaticais em uma mensagem com um código QR, é um sinal de que este trata-se de um ataque de quishing. Empresas legítimas verificam seus e-mails várias vezes em busca de erros de ortografia e gramaticais antes de enviá-los. Se uma mensagem contiver erros de ortografia ou gramaticais, é provável que um cibercriminoso esteja tentando se passar por uma empresa legítima.
Uso de linguagem com senso de urgência para escanear o código QR
Se a mensagem com o código QR estiver tentando fazer com que você escaneie o código QR com urgência, é provável que seja um ataque de quishing. Os cibercriminosos podem utilizar linguagem com senso de urgência para assustá-lo e fazê-lo escanear o código QR e fornecer suas informações pessoais. Eles farão você pensar que pode estar perdendo uma oferta incrível, pode estar em perigo ou que precisa confirmar algo fornecendo suas informações pessoais.
Erros no endereço do site do código QR
Ao escanear um código QR, antes de acessar a página pretendida, é possível visualizar o link para a página. Se você notar que o link foi abreviado, está ilegível, ou contém erros de ortografia, o link provavelmente levará a um site malicioso que contém um ataque de quishing. Se você abriu o link a partir do código QR acidentalmente, verifique quaisquer discrepâncias no site, como erros de ortografia ou erros de formato, e evite interagir com o site.
Códigos QR com ofertas boas demais para serem verdade
Alguns códigos QR podem tentar promover grandes ofertas, como descontos, ofertas especiais ou itens gratuitos. Se eles parecem bons demais para ser verdade, provavelmente são. Cibercriminosos farão qualquer coisa para que você escaneie o código QR malicioso deles. Eles vão enganá-lo, fazendo você pensar que está obtendo uma oferta incrível, quando na realidade, está caindo no golpe deles. Você deve investigar a oferta antes de tomar qualquer atitude.
Um pedido repentino ou não solicitado de informações pessoais é, provavelmente, um sinal de um ataque de quishing. Uma empresa legítima ou um colega de trabalho nunca solicitará informações confidenciais, como suas credenciais de login ou informações de cartão de crédito, por e-mail ou mensagem de texto.
Discrepâncias com códigos QR físicos
Nem todos os ataques de quishing são feitos on-line. Alguns códigos QR maliciosos são colocados em locais públicos, como restaurantes e parques. Eles podem ser distribuídos em panfletos, pôsteres ou adesivos, para que as pessoas os escaneiem. Alguns códigos QR maliciosos são colocados sobre códigos legítimos para enganar os usuários e fazê-los escaneá-los. Se houver discrepâncias suspeitas com o código QR físico de uma empresa legítima, é provável que ele tenha sido adulterado por cibercriminosos e substituído por um código QR malicioso. Entre em contato diretamente com a empresa para confirmar a autenticidade dos códigos QR deles.
Como evitar ataques quishing
O quishing é uma maneira relativamente nova e perigosa de roubar informações pessoais de um usuário. No entanto, as táticas para evitar ataques de phishing tradicionais ainda se aplicam ao quishing. Veja como evitar ser vítima de ataques de quishing.
Evite escanear códigos QR não solicitados
Evite escanear códigos QR não solicitados quando não souber a fonte. Se receber uma mensagem não solicitada encorajando-o a escanear um código QR, ou se encontrar um código QR em público, evite escaneá-lo, pois pode ser uma tentativa de quishing que leva a um site malicioso.
Verifique o endereço do site do código QR em busca de discrepâncias
Ao escanear um código QR, você recebe uma pré-visualização do endereço do site do código QR para clicar e abrir o link. Sempre verifique o link do código QR antes de clicar nele. Examine-o para ver se há discrepâncias na URL. Se você notar erros de ortografia ou nomes de domínio desconhecidos, o código QR provavelmente direcionará você para um site malicioso.
Se você recebeu um código QR de uma empresa ou pessoa que reconhece, entre em contato diretamente com a empresa ou indivíduo por outros meios de comunicação e pergunte sobre o código QR. Nestes casos, é melhor visitar o site da empresa diretamente, em vez de utilizar o código QR.
Utilize senhas fortes e exclusivas para proteger suas contas
Assim como qualquer ataque de phishing, o quishing tentará roubar suas credenciais de login e acessar suas contas. Suas contas on-line podem conter informações pessoais, como números de seu cartão de crédito ou endereço residencial. Use senhas fortes e exclusivas para proteger suas informações pessoais contra cibercriminosos. Senhas fortes e exclusivas dificultam para os cibercriminosos obter acesso às suas contas.
Utilize um gerenciador de senhas para armazenar suas senhas. Um gerenciador de senhas é uma ferramenta que armazena e gerencia suas informações pessoais com segurança em um cofre criptografado. Um gerenciador de senhas protege suas credenciais de login utilizando criptografia e pode ser acessado apenas com uma senha principal. Com um gerenciador de senhas, você pode acessar todas as suas senhas exclusivas sempre que precisar.
Alguns gerenciadores de senhas ajudam a prevenir tentativas de phishing, armazenando o URL da página de login de uma conta. Sempre que você tentar fazer login nas suas contas, quando estiver na página de login armazenada, o gerenciador de senhas fará o preenchimento automático das credenciais de login. No entanto, se você estiver em um site falso, seu gerenciador de senhas não fará o preenchimento automático de suas credenciais de login, impedindo que cibercriminosos roubem suas credenciais de login.
Habilitar a MFA nas suas contas
A autenticação multifator (MFA) é uma medida de segurança que exige que você forneça formas adicionais de autenticação para obter acesso a uma conta ou dispositivo. Habilitar a MFA oferece ainda mais controle sobre quem tem acesso às suas contas on-line. Ela acrescenta uma camada extra de segurança que verifica a identidade de usuários autorizados. Mesmo que suas credenciais de login tenham sido comprometidas por um ataque de quishing, cibercriminosos não teriam acesso às suas contas porque elas estão protegidas pela MFA.
Mantenha os softwares atualizados
Para evitar que cibercriminosos explorem vulnerabilidades de segurança em seu dispositivo, mantenha seu software atualizado. As atualizações de software vêm com correções que removem falhas de segurança e adicionam novos recursos de segurança que protegem melhor seu dispositivo.
Instale um software antivírus
O software antivírus é um programa que pode detectar, evitar e remover malware conhecido para evitar a infecção de seu dispositivo. Instale um software antivírus no seu celular para evitar que ataques de quishing instalem um malware em seu celular. Se você escanear acidentalmente um código QR de um ataque de quishing e acessar um site malicioso, o software antivírus impedirá que o malware seja instalado automaticamente no seu dispositivo.
Proteja-se contra ataques de quishing com o Keeper
Embora os ataques de quishing possam ser assustadores, é possível se proteger facilmente evitando escanear códigos QR de fontes suspeitas e desconhecidas, utilizando senhas fortes e únicas, ativando a MFA, mantendo seu software atualizado e instalando um software antivírus em seu dispositivo.
No entanto, a melhor maneira de se proteger contra ataques de quishing é utilizando um gerenciador de senhas. Com um gerenciador de senhas, suas credenciais de login são protegidas por níveis diferentes de criptografia.
O Keeper® Password Manager oferece o KeeperFill®, que preenche automaticamente suas credenciais de login armazenadas em seu gerenciador de senhas, sempre que você acessar a página de login de suas contas. Inscreva-se para uma avaliação gratuita do Keeper Password Manager para se proteger contra ataques de quishing.