二维码威胁的兴起：从方便到谨慎

您多久不假思索地扫描一下二维码？如果这个快速的决定可能会让您面临数字环境中日益增长的威胁怎么办？

二维码扫描已经越来越受欢迎，在我们的数字时代变得至关重要。它们最初是为工业跟踪而设计的，其易用性使其成为信息共享的首选工具。智能手机时代已经转向数字支付，二维码在促进交易和快速访问数据方面已经变得很常见。

二维码主要有两种类型：动态二维码，可以进行定期更新修改，但容易受到网络攻击；静态二维码，保持固定和稳定，但可能成为网络犯罪分子的目标。当我们深入研究二维码的世界时，了解其动态和潜在风险至关重要，从而揭示其广泛流行所带来的阴暗面。 

什么是二维码钓鱼攻击？

Quishing，也称为二维码网络钓鱼，是一种网络攻击，网络犯罪分子利用二维码诱骗用户提供敏感信息或下载恶意内容。他们创建逼真的 QR 码，采用社会工程，并利用 QR 码阅读器应用程序中的漏洞。

取消钓鱼攻击与常见的网络钓鱼攻击

网络钓鱼攻击涉及欺骗手段，诱骗个人泄露用户名、密码或财务详细信息等敏感信息。这些攻击通过看似值得信赖的渠道（例如电子邮件或即时消息）模仿信誉良好的实体，其主要目标是未经授权的访问或盗窃。

消除攻击是对传统网络钓鱼方案的细微差别。攻击者利用 QR 码融入日常环境的能力，通过印刷材料或电子邮件等各种渠道轻松分发。此方法提供了一种快速且隐蔽的方法，可将用户重定向到欺诈网站，用户可能会无意中泄露敏感信息。攻击者受益于与 QR 码相关的广泛使用和信任，利用其便利性并经常绕过用户对底层 URL 的审查。

攻击过程的逐步分解

创建恶意二维码
网络犯罪分子设计看似合法的二维码，但会将用户重定向到欺诈网站或提示下载恶意内容。

社会工程技术 网络
钓鱼者经常使用说服性消息来操纵用户扫描恶意二维码。这些消息可能承诺奖励、折扣或紧急警报，以营造紧迫感或兴奋感。

分发渠道
恶意二维码通过各种渠道传播，包括网络钓鱼电子邮件、虚假广告，甚至海报和传单等实物，在线上和线下空间中利用毫无戒心的受害者。

伪装技术

由于攻击者利用伪装技术，恶意 QR 码通常在视觉上与合法二维码无法区分。这涉及模仿品牌、徽标和设计元素来欺骗用户，利用区分真实代码和恶意代码的挑战。

重定向到欺诈网站
一旦扫描二维码，受害者就会被重定向到模仿合法网站的虚假网站，提示他们输入用户名和密码或财务详细信息等敏感信息。

下载恶意内容
在某些情况下，扫描恶意二维码可能会启动将恶意软件下载到用户的设备上，从而危及安全并可能导致进一步的网络攻击。

数据收集和身份盗窃
网络钓鱼者收集受害者在虚假网站上输入的信息，从而导致身份盗窃、财务损失或未经授权访问个人帐户。

现实生活中的例子

2022 年 2 月，亚特兰大的司机在他们的车上发现了假停车罚单，上面带有所谓的罚款支付二维码。发现这一情况后，当地政府向居民发出警报，强调亚特兰大的真正停车票不包含二维码。

同年，中国发生了一场二维码网络钓鱼活动，冒充中国财政部，通过虚假的政府拨款申请来引诱用户。受害者被指示使用微信应用扫描电子邮件附件中的二维码。扫描后，用户被引导至一个欺骗性页面，他们以申请不存在的补助金为幌子，无意中泄露了详细的信用卡和银行账户信息。 

保护自己免受二维码诈骗

l 将智能手机的操作系统和安全功能保持更新到最新版本。

l 启用 MFA 以获得额外的安全层来保护您的个人信息。

l 在电子邮件中遇到 QR 码时请务必小心，因为它们可用于网络钓鱼尝试。

l 通过信誉良好的安全软件采用网络过滤来阻止恶意网站和潜在威胁。

l 通过威胁情报源随时了解与二维码诈骗相关的新兴威胁。