Распространяемые в последнее время характерные квадратные картинки, печатаемые в рекламе, журналах и объявлениях, на сегодняшний день являются самым простым способом для того, чтобы заставить пользователя перейти на соответствующий веб-сайт, сохранить контактный телефон или загрузить приложение. Простота применения привлекает не только маркетологов, но и злоумышленников. Следовательно, пользователь, фотографируя QR-код, должен понимать, что ссылка может привести его на страницу вредоносного приложения.

Рисунок 1 QR-код

QR-код («Quick Response» – «быстрый отклик») может содержать любую текстовую информацию, в том числе ссылки на интернет-источники. Сегодня он приобретает широкую известность в странах Европы и Америки. Он давно популярен в Азии. QR-код можно повсеместно встретить на рекламных щитах и листовках, в магазинах, на веб-сайтах, билетах и т.д. Этот список бесконечен.

Вместе с тем, все более популярны мошеннические схемы, связанные с QR-кодами. Например, сегодня не редкость злоумышленники, аккуратно наклеивающие свой вредоносный QR-код поверх официального. Это явление получило название QRishing по аналогии с phishing.

Несложно представить, насколько опасен QR-код, содержащий вредоносную ссылку, наклеенный в общественном месте, например, в аэропорту, на банкомате, в метро, в здании банка. Как правило, потенциальная жертва доверяет рекламе и потому спокойно сканирует QR-код, переходя по заданной ссылке.

Например, разместим QR-код (рис. 2)

Рисунок 2 www.bezmaly.wordpress.com

Но, просканировав его, мы попадем на сайт www.bezmaly.com Не правда ли? Похоже? Но… другое!

Итак, ваша ссылка, безусловно, выводится на экран. Но ведь есть еще и сервисы сокращения ссылок.

Что получим, например, в результате применения сервиса bit.ly

1. Исходный адрес все тот же, www.bezmaly.wordpress.com, а получим http://bit.ly/1BGHtHX
2. Исходный адрес все тот же, www.bezmaly.com, – получим http://bit.ly/1BGHBaC

А как это выглядит в QR-коде?

Рисунок 3 http://bit.ly/1BGHtHX

Рисунок 4 http://bit.ly/1BGHBaC

Вы можете найти разницу на глаз? Я – нет!

Так вы убедились, что QR-код может вести на страницу с вредоносным ПО, на фишинговый сайт и т.д. Проблема осложняется тем, что когда вы используете смартфон или даже планшет, вы далеко не всегда можете увидеть полную адресную строку, что существенно затруднит пользователю понимание того, действительно ли это правильная страница или это фишинговый сайт.

А ведь мобильные устройства куда хуже защищены. И это, увы, факт.

Что делать?

1. Перед сканированием убедитесь, что QR-код не наклеен поверх другого. Если сомневаетесь – сканировать нельзя.
2. После того, как в браузере вы откроете необходимую вам страницу, убедитесь, что это действительно тот сайт и та страница, куда вы хотели попасть. Особенно будьте внимательны, если вам предлагают ввести ваши учетные данные.
3. Если возможно, установите на ваш смартфон приложения, которые могут проверять сайты на вредоносное содержимое. Особенно это важно для смартфонов на базе ОС Android, ведь для них существуют уже тысячи, если не десятки тысяч вредоносных приложений.

Вместе с тем хотелось бы отметить, что не так давно «Лаборатория Касперского» создала приложение для защиты QR-кодов – Kaspersky QR Scanner. Данное приложение работает под управлением как OC Android, так и iOS.

Алгоритм работы Kaspersky QR Scanner можно описать как «Сканирование – Проверка – Переход». Как только в веб-камере появляется QR-код, приложение считывает и проверяет закодированную информацию.

Если ссылка указывает на фишинговый или вредоносный сайт, то на экране устройства отображается предупреждение. Помимо адресов сканер распознает зашифрованные изображения и контактные данные, а также позволяет принимать Wi-Fi-настройки и подключать устройства к беспроводной сети (только для Android).

Надеюсь, что теперь вы сможете защитить ваши устройства.

Владимир Безмалый

Microsoft Most Valuable Professional Consumer Security since 2006

Microsoft Security Trusted Advisor