QR-koder er en sikkerhetsrisiko – slik brukes de i svindel

 

ITavisen.no

QR-koder har blitt en naturlig del av hverdagen. Vi bruker dem til betaling, parkering, menyer på restaurant, billetter, innlogging og hurtig tilgang til nettsider.

Det største problemet med QR-koder

Nettopp derfor er de også blitt et stadig mer attraktivt verktøy for svindlere. Nå advarer sikkerhetseksperter mot en økning i QR-basert svindel, der brukere ledes til falske nettsider uten å ane hva som skjuler seg bak koden. I motsetning til vanlige lenker ser du aldri adressen før du faktisk har scannet QR-koden. Det gjør teknologien spesielt egnet til phishing og annen digital svindel.

Thorbjørn Busch, leder for Fraud & Crime i Telenor:

Vi har allerede nå sett eksempler på denne type svindel via melding og e-post. Etter hvert som Skattemeldingen nærmer seg vil vi nok svært mange av oss motta en slik melding.

En QR-kode er i praksis bare et bilde som inneholder en nettadresse eller annen data. Når du scanner den med mobilen, blir du sendt direkte videre, ofte uten å få en tydelig forhåndsvisning av hvor du ender opp.

Det betyr at en QR-kode kan lede hvor som helst. Til en legitim nettside, eller til en falsk kopi laget for å stjele innloggingsdetaljer, betalingsinformasjon eller annen sensitiv informasjon. For brukeren er det umulig å vite forskjellen før det er for sent.

⚠️ QR-koder: Dette bør du gjøre – og unngå

Dette bør du gjøre
Sjekk alltid nettadressen etter at QR-koden er scannet
Bruk offisielle apper eller skriv inn adressen selv ved innlogging og betaling
Vær ekstra skeptisk til QR-koder i meldinger som skaper hastverk
Bruk mobilens innebygde kamera i stedet for tredjeparts QR-apper

Dette bør du unngå
Ikke scan QR-koder som ber deg logge inn med BankID eller passord
Unngå QR-koder på tilfeldige klistremerker i det offentlige rom
Ikke betal via QR-koder hvis du ikke forventer det på forhånd
Stol aldri blindt på QR-koder bare fordi de ser «offisielle» ut

Slik fungerer QR-koder

En QR-kode er en todimensjonal strekkode som lagrer data i et rutenett av svarte og hvite moduler. I motsetning til tradisjonelle strekkoder kan QR-koder lagre informasjon både horisontalt og vertikalt, noe som gir høy datatetthet på liten flate. QR-standarden bruker feilkorrigering, som gjør at koden fortsatt kan dekodes selv om deler er skjult eller skadet, noe som også åpner for fysisk manipulering uten at koden slutter å virke.

Innholdet i en QR-kode er som regel en ren tekststreng. I praksis er dette oftest en URL, men det kan også være kontaktinformasjon, WiFi-info eller instruksjoner som åpner en bestemt app. Selve QR-koden inneholder ingen logikk eller sikkerhet – bare data. Det er det viktig å vite.

Det avgjørende poenget er at brukeren først ser destinasjonen etter at koden er dekodet. Det finnes ingen innebygd måte å visuelt kontrollere innholdet på forhånd.

 

Brukeren ser ikke hvilken nettadresse koden leder til før den er skannet, noe som gjør teknologien sårbar for misbruk dersom koden byttes ut eller manipuleres.

Derfor er QR-koder et sikkerhetsproblem

Teknisk sett er QR-koder problematiske fordi de flytter en ellers tekstbasert sikkerhetskontroll over i et visuelt lag. En URL som tekst kan analyseres, sammenlignes mot kjente domener og stoppes av DNS-filtre, e-postbeskyttelse og nettlesersikkerhet før brukeren klikker. Når den samme adressen pakkes inn i et bilde, forsvinner denne synligheten.

Jan Roger Wilkens, sikkerhetsanalytiker i Telenor Security Operation Centre (TSOC):

Det har for eksempel vært flere tilfeller der noen har funnet falske parkeringsbøter på bilen, med en QR-kode der du blir bedt om å betale, eller at det er satt opp en falsk QR-kode på selve parkeringsautomaten.

De fleste sikkerhetsløsninger analyserer ikke innholdet i bilder i sanntid. QR-koder i e-post, PDF-er, plakater eller klistremerker blir derfor ofte behandlet som ufarlig innhold, selv om de i praksis inneholder en fullverdig lenke.

I tillegg brukes ofte URL-forkortere, midlertidige videresendinger eller legitime domener bak QR-koder. Det gjør at selv avanserte sikkerhetsløsninger kan ha problemer med å avgjøre om destinasjonen er ondsinnet før det er for sent. Resultatet er at QR-koder effektivt fungerer som en omvei rundt mange av dagens sikkerhetsmekanismer – ikke fordi teknologien er avansert, men fordi den utnytter et svakt kontrollpunkt.

Falske QR-koder brukes i phishing-angrep

Sikkerhetseksperter peker særlig på QR-baserte phishing-angrep, ofte omtalt som quishing. Her brukes QR-koder i stedet for vanlige lenker i SMS, e-post eller på fysiske steder.

Thorbjørn Busch, leder for Fraud & Crime i Telenor:

De kriminelle prøver å være så relevante i meldingene sine som mulig, slik at mottakerne er mindre skeptiske til innholdet. Derfor ser vi en massiv økning av disse meldingene når folk flest vet at skattemeldingen nærmer seg.

I Norge er det allerede observert forsøk på svindel knyttet til falske skattemeldinger, der QR-koder leder til nettsider som utgir seg for å være Skatteetaten. Målet er ofte BankID, personopplysninger eller kontoinformasjon.

QR-koder brukes til betalingssvindel

QR-svindel skjer ikke bare digitalt. Den kan også foregå i det fysiske rom. Det er dokumentert tilfeller med falske QR-koder på parkeringsautomater, QR-koder festet over ekte koder på restauranter og falske parkeringsbøter med QR-kode for betaling.

I slike tilfeller tror brukeren at de betaler for parkering eller mat, men havner i stedet på en falsk betalingsside der kortinformasjonen misbrukes.

QR-koder omgår sikkerhetsfiltre

En viktig grunn til at QR-svindel øker, er at QR-koder ofte slipper unna tradisjonelle sikkerhetsmekanismer. Spamfiltre, brannmurer og URL-filtrering er laget for tekstbaserte lenker, ikke bilder.

Når en QR-kode sendes i en e-post eller SMS, blir den ofte ikke analysert på samme måte som en vanlig nettadresse. Dermed kan svindel passere sikkerhetskontroller som ellers ville stoppet angrepet.

Thorbjørn Busch, leder for Fraud & Crime i Telenor:

Regelen bør alltid være at du ikke skal trykke på lenker du får i denne type e-post eller meldinger. QR-kode er også en lenke, og dermed bør du la være å scanne denne. Bruk heller den innloggingen du vanligvis bruker for å komme i kontakt med den virksomheten som meldingen eller e-posten gir seg ut for å komme ifra.

For vanlige privatpersoner er risikoen reell, men ofte begrenset til økonomisk tap eller misbruk av kontoer. For bedrifter og ansatte kan konsekvensene være langt mer alvorlige.

Offentlige ansatte, politikere og personer med tilgang til sensitive systemer er særlig attraktive mål, nettopp fordi QR-baserte angrep kan brukes til å flytte kommunikasjon utenfor kontrollerte miljøer.

Selv når koden fremstår legitim og offisiell, finnes det ingen visuell måte å kontrollere destinasjonen på før etter at koden er dekodet.