別亂掃:加拿大驚現二維碼釣魚騙局

2025-07-23 | 來源: 加國無憂 | 轉到微信 | 有0人參與評論 | 字體: 放大縮小 | 收藏 | 打印

阿爾伯塔省紅鹿市（Red Deer）的皇家騎警（RCMP）去年也曾發出警告，提醒人們警惕不熟悉的二維碼。

在一個案例中，有人收到了一個他們並未訂購的奢侈品包裹。當他們打開包裹時，裡面有一張紙條指示他們掃描一個二維碼，結果發現該二維碼來自一個詐騙者。

在其他案例中，詐騙者會將一個假的二維碼貼紙覆蓋在一個合法的二維碼之上。

警方警告人們，除非他們確信二維碼是可靠的，否則不要掃描。

Quishing是如何運作的？

攻擊通常由網絡犯罪分子創建一個惡意二維碼開始。該代碼旨在將用戶重定向到一個仿冒網站，以竊取受害者的敏感信息，或者它也可能被設計成將惡意軟件下載到設備中。

據Malwarebytes稱，這些惡意代碼可能以圖片或附件的形式插入到電子郵件中，通過即時通訊應用發送，嵌入到社交媒體帖子或廣告中，或者被放置在公共區域，如餐廳、公共咪表、假的活動海報和充電站。

在某些情況下，這些二維碼也會通過郵件發送到目標的家中，附在一個偽裝成特殊禮物的包裹裡，並附有掃描代碼的說明。

一旦代碼被掃描，受害者就會被帶到一個頁面，他們可能會被提示輸入銀行信息，或者在不知情的情況下將惡意軟件下載到自己的設備上。

新型騙局可規避檢測

加拿大留學生項目遭審計留學生簽證急刹車

這病毒重現加拿大夏天要防它叮咬

加拿大女子加入ISIS 僅被判刑1天監禁?

根據網絡安全公司INKY的一份報告，一種危險的新quishing策略甚至不需要用戶點擊鏈接，而是在二維碼被掃描後立即將用戶帶到惡意網站。

報告稱，這使得黑客能夠規避常見的安全過濾器。

滑鐵盧大學網絡安全與隱私研究所的Kami Vaniea表示，攻擊者通過創建一個以“data”而不是“https”開頭的特殊URL來實現這一點，並將所有網站代碼直接嵌入到該data URL本身。這樣一來，惡意代碼就直接嵌入到二維碼中，而不是鏈接到一個外部網站。

“這使得攻擊者可以直接給你網站代碼，而無需訪問https類型的URL，從而有效地繞過了大多數過濾器。”

Sherwood說，這類二維碼騙局可能變得更加危險，它會將以前需要人們手動操作的步驟自動化，例如點擊鏈接。不過，他說，這種復雜的攻擊很少見。

盡管如此，專家建議在處理二維碼時要保持謹慎。

如何防范Quishing騙局

Sherwood說：“安全的方法是，只掃描你熟悉的二維碼，不要掃描你在街上或公交上看到的隨機二維碼。”

Vaniea說，關閉二維碼閱讀器應用中的自動打開或訪問功能也是一個值得推薦的做法。“這給了用戶在訪問網站之前檢查URL的機會。”

她建議，定期更新軟件和設備也很重要。“如果這種新的quishing攻擊開始被頻繁使用，大型瀏覽器提供商將開始對其進行掃描並向用戶發出警告，”這些安全補丁將通過瀏覽器更新的形式提供。“如果你不確定，就不要掃描二維碼，而是使用搜索引擎來查找你想要的東西。”