Quishing: Phishing mit QR-Codes erkennen und abwehren

QR-Codes sind seit der Pandemie Alltag: auf Speisekarten, Rechnungen, Paketscheinen und Parkautomaten. Genau dieses Vertrauen nutzen Angreifer aus. Ein QR-Code sieht für Menschen immer gleich aus. Wohin er führt, sieht man erst nach dem Scannen.

So läuft ein Quishing-Angriff ab

1. Der Köder: Eine Mail meldet, dass die Zwei-Faktor-Anmeldung abläuft, ein Dokument unterschrieben werden muss oder eine Zahlung offen ist.
2. Der QR-Code: Statt eines Links enthält die Mail einen QR-Code, oft als Bild oder in einem angehängten Dokument.
3. Der Wechsel aufs Smartphone: Die Empfängerin scannt den Code mit ihrem Handy. Damit verlässt sie die geschützte Umgebung des Firmenrechners.
4. Die gefälschte Seite: Sie sieht aus wie die Anmeldung bei Microsoft 365, der Bank oder einem Paketdienst und fragt Zugangsdaten oder Zahlungsdaten ab.
5. Der Zugriff: Mit den Daten meldet sich der Angreifer an. Manche Seiten leiten auch die Bestätigung der Zwei-Faktor-Anmeldung in Echtzeit weiter.

Warum Mailfilter Quishing oft übersehen

• Kein Link im Text: Viele Filter prüfen Links. Ein QR-Code ist für sie zunächst nur ein Bild.
• Wenig Text: Manche Mails bestehen fast nur aus einem Bild mit Text und Code. Inhaltsfilter finden dann kaum Anhaltspunkte.
• Privates Gerät: Der Klick passiert auf dem Smartphone. Dort fehlen oft Webfilter, Warnungen und die Protokolle der Firma.
• Kleiner Bildschirm: Auf dem Handy wird die Adresse gekürzt angezeigt. Eine gefälschte Domain fällt kaum auf.

Typische Maschen

• Zwei-Faktor-Anmeldung erneuern: „Ihre MFA läuft heute ab. Scannen Sie den Code, um sie zu verlängern.“
• Dokument freigeben: Eine angebliche Signatur-Anfrage oder ein geteiltes Dokument mit QR-Code.
• Gehaltsabrechnung oder Bonus: Mails im Namen der Personalabteilung.
• Paket und Zahlung: Eine offene Zollgebühr oder eine Lieferung, die angeblich wartet.
• Gefälschte Aufkleber: Überklebte QR-Codes an Parkautomaten oder Ladesäulen, die auf gefälschte Bezahlseiten führen.

Warnzeichen

• Ein QR-Code in einer Mail, die Sie auch auf dem Rechner bearbeiten könnten.
• Zeitdruck: „heute“, „sofort“, „sonst wird Ihr Konto gesperrt“.
• Ein Anlass, der nicht zu Ihren Abläufen passt, etwa eine MFA-Erneuerung per Mail.
• Nach dem Scannen eine Adresse, die nicht zur angeblichen Firma gehört.
• Eine Anmeldeseite, die Sie über einen QR-Code statt über die gewohnte Adresse erreichen.

So schützen Sie Ihr Unternehmen

1. QR-Codes im Mailfluss auslesen: Ein Secure Email Gateway sollte QR-Codes in Bildern erkennen und die enthaltenen Adressen wie jeden anderen Link prüfen.
2. Phishing-resistente Anmeldung: Passkeys oder Sicherheitsschlüssel nach FIDO2 lassen sich nicht auf gefälschten Seiten verwenden. Das nimmt Quishing einen großen Teil der Wirkung.
3. Klare Regeln: Legen Sie fest und kommunizieren Sie, dass die IT nie per QR-Code zur Anmeldung oder MFA-Erneuerung auffordert.
4. Smartphones absichern: Dienstliche Geräte lassen sich über ein Mobile Device Management mit Webfilter und Updates versorgen.
5. Schulen und üben: Zeigen Sie Mitarbeitenden echte Beispiele. Eine Phishing-Simulation kann auch QR-Code-Mails enthalten.
6. Melden einfach machen: Ein Melde-Button im Mailprogramm sorgt dafür, dass verdächtige Mails schnell bei der IT ankommen.

Quishing und das SecTepe Mail Security Gateway

Der Phishing-Schutz des SecTepe Mail Security Gateway liest QR-Codes in Bildanhängen aus und prüft die Adressen wie jeden anderen Link. Eine Texterkennung (OCR) liest zudem Text, der als Bild verschickt wird. Fällt eine Mail erst nach der Zustellung auf, holt das Gateway sie aus allen Postfächern zurück. Wie das abläuft, beschreibt der Beitrag Phishing-Mail im Postfach? So holen Sie sie überall zurück.

Fazit

Quishing versteckt den Phishing-Link in einem QR-Code und verlagert den Klick auf das Smartphone. Dort fehlen oft die Schutzmechanismen der Firma. Wirksam ist eine Kombination: QR-Codes schon im Mailfluss auslesen, phishing-resistente Anmeldung einführen, klare Regeln kommunizieren und regelmäßig üben.