급증하는 퀴싱: QR 코드 피싱을 방지하는 방법

게티 이미지/iStockphoto

위협 연구원에 따르면 사이버 범죄자들은 ​​이메일 기반의 퀴싱 공격을 사용하여 사용자를 표적으로 삼고 있습니다. 적어도 하나의 퀴싱 캠페인은 메시지가 사용하는 미끼와 도메인의 공격 흐름과 변화를 기반으로 대규모, 장기적, 동적인 것으로 보입니다.

QR 코드 피싱이라고도 알려진 퀴싱은 누군가를 속여 휴대폰을 사용하여 QR 코드를 스캔하도록 하는 것입니다. 그런 다음 QR 코드는 악성 코드를 다운로드하거나 민감한 정보를 요구할 수 있는 사기성 웹사이트로 사용자를 연결합니다.

HP의 맬웨어 분석가인 패트릭 슐래퍼(Patrick Schläpfer)는 그의 팀이 몇 달 동안 거의 매일 이메일 기반 거부 활동을 관찰했다고 말했습니다. 연구원들은 유사한 Word 문서가 첨부된 일련의 의심스러운 이메일을 발견했을 때 처음으로 주목을 받은 특정 QR 코드 피싱 캠페인을 추적해 왔습니다.

자세히 조사한 결과 각 문서에는 중국어 텍스트와 QR 코드가 포함되어 있는 것으로 나타났습니다. 이 메시지는 중국 재무부에서 보낸 것으로 보이지만 실제로는 위협 행위자로부터 온 것으로 보이며 수신자에게 새로운 정부 지원 보조금을 받을 자격이 있다고 말했습니다. 문서에 따르면 결제를 받으려면 사용자는 모바일 기기를 사용하여 QR 코드를 스캔해야 하며, 이를 통해 개인 및 금융 정보를 제출할 수 있는 신청서로 리디렉션됩니다.

HP가 발견한 또 다른 유사한 공격에서는 사용자가 QR 코드를 통해 결제를 요청하는 택배 서비스에서 보낸 것처럼 보이는 이메일을 받았습니다.

Schläpfer에 따르면 QR 코드는 사용자가 데스크톱이나 노트북에서 피싱 방지 보호 기능이 약한 모바일 장치로 이동하도록 강제하는 방법입니다. 그리고 HP 연구원들이 발견한 캠페인은 개인의 금융 정보를 요구하는 것이 목적이지만 위협 행위자들은 이러한 퀴싱 캠페인을 사용하여 모바일 악성 코드를 배포하고 기업 로그인 자격 증명을 훔칠 수도 있습니다.

Schläpfer는 “QR 피싱이 다양한 방법을 사용하여 더 넓은 규모로 발생하고 있을 가능성이 매우 높습니다.”라고 말했습니다.

이메일 보안 공급업체인 Abnormal Security는 이전에 QR 코드를 사용하여 일반적으로 텍스트에서 URL을 검색하는 이메일 보안 게이트웨이를 통과하는 퀴싱 캠페인을 식별했습니다. 해당 공격은 사용자의 마이크로소프트 로그인 자격 증명을 훔치려는 시도인 것으로 보인다고 해당 공급업체는 보고했습니다.

퀴싱(Quishing)은 위협 행위자가 QR 코드를 사용하여 사용자를 조작하는 일종의 피싱 공격입니다. 일반적으로 사용자를 악성 코드를 다운로드하거나 민감한 정보를 요청하는 웹 사이트로 리디렉션합니다.

QR 코드 또는 빠른 응답 코드는 호환되는 모바일 장치 카메라가 읽을 수 있는 정사각형 바코드입니다. 사용자가 QR 코드를 스캔하면 웹페이지가 열리는 경우가 많지만 전화 통화, 문자 메시지 또는 디지털 결제가 실행될 수도 있습니다.

일화적인 증거에 따르면 코로나19 팬데믹이 시작된 이후로 접촉이 적은 거래를 위해 QR 코드를 사용하는 합법적인 조직이 늘어나면서 퀴싱 공격이 증가한 것으로 나타났습니다. 예를 들어 일부 레스토랑에서는 고객에게 인쇄본을 제공하는 대신 QR 코드를 온라인 메뉴에 연결합니다. 디지털 지갑은 QR 코드를 사용하여 비접촉 결제를 용이하게 합니다. 사용자가 일상 생활에서 QR 코드와 상호 작용하는 데 점점 익숙해지면서 퀴싱 기회가 늘어났습니다.

예를 들어, Better Business Bureau(BBB)에 따르면 현재 흔한 사기에는 주차 요금을 지불하려고 할 때 운전자를 속여 금융 자격 증명을 공유하도록 주차 미터기에 사기성 QR 코드를 붙이는 것이 포함됩니다. BBB는 소비자에게 이메일, 문자 메시지, 간판, 다이렉트 메일, 심지어 공공 기관 직원이나 정부 직원으로 가장한 범죄자로부터 직접 QR 코드 사기를 당할 수 있다고 경고했습니다.

현재까지 많은 퀴싱 공격이 개인 소비자를 표적으로 삼았지만 기업과 그 직원도 취약합니다. 특히 HP와 Abnormal Security 연구진이 발견한 것과 같은 이메일 기반 QR 피싱 캠페인은 자격 증명 도용이나 악성 코드 배포를 위해 비즈니스 계정을 표적으로 삼을 수 있습니다.