Quishing: Πώς το phishing μέσω QR code μπορεί να παρακάμψει τα μέτρα ασφαλείας των επιχειρήσεων

Στον κόσμο της κυβερνοασφάλειας, ο μεγαλύτερος κίνδυνος κρύβεται συχνά πίσω από κάτι που μας φαίνεται απολύτως γνώριμο. Όταν βλέπουμε το ίδιο πράγμα ξανά και ξανά, σταματάμε να το προσέχουμε. Το εμπιστευόμαστε σχεδόν μηχανικά.

Σκεφτείτε πόσες φορές μέσα στην ημέρα συναντάμε έναν κωδικό QR: στο μενού ενός εστιατορίου, σε μια κολόνα φωτισμού, σε ένα παρκόμετρο. Τώρα οι μικροί ασπρόμαυροι κώδικες εμφανίζονται όλο και συχνότερα και στα εισερχόμενα email μας. Και ακριβώς αυτή η εξοικείωση είναι που μπορεί να τους κάνει επικίνδυνους.

Γιατί πίσω από ένα QR επίσης μπορεί να κρύβεται ένας κακόβουλος σύνδεσμος. Ένας σύνδεσμος που δεν είναι άμεσα ορατός, που μπορεί να περάσει απαρατήρητος από τα παραδοσιακά εταιρικά φίλτρα ασφαλείας και, με ένα απλό σκανάρισμα, να μεταφέρει την αλληλεπίδραση από τον προστατευμένο εταιρικό υπολογιστή στο προσωπικό κινητό του εργαζομένου, εκεί όπου οι έλεγχοι μπορεί να είναι λιγότερο αυστηροί.

«Οι κυβερνοεγκληματίες δε σταματούν να δοκιμάζουν νέους τρόπους για να περνούν απαρατήρητοι. Μία από αυτές τις μεθόδους είναι το «quishing»: επιθέσεις που αξιοποιούν QR codes για να παρασύρουν ανυποψίαστους εργαζομένους σε κακόβουλες ενέργειες» αναφέρει ο Phil Muncaster στην WeLiveSecurity, την ενημερωτική πλατφόρμα της παγκόσμιας εταιρίας κυβερνοασφάλειας ESET.

Ακολουθούν όσα χρειάζεται να γνωρίζετε για να συμβάλετε στην προστασία του οργανισμού σας.

Γιατί είναι τόσο επικίνδυνο το quishing;

Ο κωδικός QR, συντομογραφία του όρου «Quick Response», είναι ένας δισδιάστατος γραμμωτός κώδικας που μπορεί να κωδικοποιεί διευθύνσεις URL, στοιχεία πληρωμών, πληροφορίες επικοινωνίας και άλλα δεδομένα. Βοηθά τους χρήστες να μεταβούν γρήγορα από το σημείο Α στο σημείο Β, όπου ο προορισμός, στην προκειμένη περίπτωση, είναι συνήθως μια ιστοσελίδα ή μια εφαρμογή.

Οι κωδικοί QR είναι ελκυστικοί για τους παράγοντες απειλής για διάφορους λόγους. Η ευρεία χρήση τους, η οποία επιταχύνθηκε λόγω της αυξημένης ζήτησης για ανέπαφες αλληλεπιδράσεις κατά τη διάρκεια της πανδημίας, τους έχει καταστήσει αναπόσπαστο μέρος της καθημερινής ζωής. Ως αποτέλεσμα, σήμερα είναι πολύ πιθανότερο να βγάλουμε το τηλέφωνό μας για να σαρώσουμε έναν κωδικό QR σε σχέση με μερικά χρόνια πριν.

Οι κωδικοί QR εντάσσονται επίσης άψογα στις ροές εργασίας του phishing: ο κακόβουλος σύνδεσμος ή το συνημμένο αρχείο αντικαθίσταται απλώς από έναν κωδικό QR. Επιπλέον, οι κωδικοί αυτοί μπορούν να δημιουργηθούν μέσα σε λίγα δευτερόλεπτα. Στην πραγματικότητα, πολλά εργαλεία phishing διαθέτουν ειδική γεννήτρια κωδικών QR. Το σημαντικότερο, όμως, είναι ότι μεταφέρουν το θύμα από ένα σχετικά καλά προστατευμένο εταιρικό περιβάλλον σε μια δυνητικά μη διαχειριζόμενη κινητή συσκευή, παρακάμπτοντας έτσι ένα μέρος των εταιρικού επιπέδου ελέγχων ασφαλείας.

Ένα σημαντικό πλεονέκτημα για τον επιτιθέμενο είναι η δυνατότητα απόκρυψης. Ο προορισμός κωδικοποιείται σε ένα οπτικό μοτίβο και δεν εμφανίζεται ως αναγνώσιμο κείμενο. Αυτό αποκρύπτει τις κακόβουλες διευθύνσεις URL και εμποδίζει ορισμένα παραδοσιακά φίλτρα ηλεκτρονικού ταχυδρομείου να τις εξάγουν και να τις ελέγξουν. Μερικές φορές, η απόκρυψη γίνεται ακόμη πιο αποτελεσματική, καθώς οι κωδικοί QR ενσωματώνονται σε συνημμένα αρχεία PDF ή JPEG. Έτσι, είναι πιθανότερο να καταλήξουν στα εισερχόμενα των εργαζομένων.

Όταν ένα τέτοιο μήνυμα φτάσει στα εισερχόμενα, το προσωπικό μπορεί να δυσκολευτεί να διακρίνει ένα πραγματικό μήνυμα από ένα κακόβουλο. Συνήθως δεν υπάρχει αρκετό κείμενο ώστε να αναζητηθούν ορθογραφικά ή γραμματικά λάθη, ενώ ο σύνδεσμος είναι ουσιαστικά κρυμμένος μέσα σε ένα οπτικό μοτίβο και, επομένως, αόρατος στο ανθρώπινο μάτι.

Όταν χρησιμοποιείται σε συνδυασμό με μια αξιόπιστη επωνυμία, για παράδειγμα, σε ένα μήνυμα ηλεκτρονικού ταχυδρομείου που φαίνεται να προέρχεται από την DocuSign ή μια ενημέρωση από Microsoft, μια επίθεση quishing αξιοποιεί παρόμοιες τακτικές κοινωνικής μηχανικής με τα κλασικά μηνύματα phishing.

Η αξιόπιστη εμπορική ταυτότητα καθησυχάζει το θύμα και το κάνει να πιστεύει ότι μπορεί να σαρώσει τον κωδικό και να συνεχίσει χωρίς κίνδυνο. Παράλληλα, οι κακόβουλοι κωδικοί QR ενσωματώνονται συχνά σε ειδοποιήσεις που παροτρύνουν τους χρήστες να προστατέψουν τον λογαριασμό τους ή να πραγματοποιήσουν έλεγχο ταυτότητας για να επιβεβαιώσουν τα στοιχεία τους.

Στην πραγματικότητα, σύμφωνα με την Έκθεση Απειλών της ESET για το Α΄ εξάμηνο του 2026, κακόβουλοι κωδικοί QR ενσωματώθηκαν σε τουλάχιστον 11% όλων των μηνυμάτων ηλεκτρονικού ταχυδρομείου phishing κατά το πρώτο εξάμηνο του 2026.

«Η ESET παρακολουθεί τα μηνύματα ηλεκτρονικού ταχυδρομείου quishing με την ονομασία ανίχνευσης QRCode/Phishing. Η συγκεκριμένη ανίχνευση λειτουργεί μέσω ενός ειδικού επιπέδου του σαρωτή ηλεκτρονικού ταχυδρομείου της ESET, σχεδιασμένου να εντοπίζει κωδικούς QR στη συντριπτική πλειονότητα των τύπων αρχείων και να αποκωδικοποιεί τις διευθύνσεις URL που περιέχουν. Οι διευθύνσεις URL που εξάγονται σαρώνονται μέσω των μηχανισμών anti-phishing, anti-malware και anti-spam της ESET. Τυχόν επιβλαβείς διευθύνσεις URL αποκλείονται και τα αντίστοιχα μηνύματα ηλεκτρονικού ταχυδρομείου επισημαίνονται ή διαγράφονται», αναφέρει η έκθεση.

Οι δράστες απειλών συνεχίζουν να καινοτομούν

Όπως συμβαίνει με κάθε τάση στο τοπίο των απειλών, οι κακόβουλοι παράγοντες συνεχίζουν να βελτιώνουν τις τεχνικές τους για μέγιστο αντίκτυπο.

Οι επιθέσεις quishing χρησιμοποιούνται όχι μόνο για την εγκατάσταση κακόβουλου λογισμικού και την κλοπή διαπιστευτηρίων, αλλά και για την υποκλοπή διακριτικών MFA. Ερευνητές ασφαλείας έχουν επίσης εντοπίσει τη χρήση τους σε επιθέσεις που έχουν σχεδιαστεί για:

• Παράκαμψη των μέτρων ασφαλείας του καταστήματος εφαρμογών μέσω άμεσων λήψεων εφαρμογών, όπου το κακόβουλο λογισμικό μεταμφιέζεται ως νόμιμη εφαρμογή
• Αντί να οδηγεί το χρήστη σε μια κακόβουλη ιστοσελίδα ή ιστοσελίδα ηλεκτρονικού ψαρέματος (phishing), ο σύνδεσμος παραπέμπει απευθείας σε μια νόμιμη εφαρμογή κοινωνικής δικτύωσης, πληρωμών ή άλλου είδους. Αυτό μπορεί να χρησιμοποιηθεί σε διάφορα σενάρια, όπως:
• Κατάληψη λογαριασμού, όπου το θύμα κατευθύνεται να πιστοποιήσει τον εισβολέα στον λογαριασμό του
• Οικονομική απάτη, όπου το θύμα κατευθύνεται σε μια εφαρμογή πληρωμών με συμπληρωμένα τα στοιχεία δικαιούχου
• Μόλυνση επαφών ή ημερολογίου, όπου κακόβουλοι σύνδεσμοι συσκέψεων ή νέα στοιχεία επαφών ενσωματώνονται σε βοηθητικές εφαρμογές και ανακατευθύνουν τους χρήστες σε ιστοσελίδες phishing.
• Συσκότιση των εργαλείων ασφαλείας με τη μετατροπή μεγάλων, κακόβουλων διευθύνσεων internet σε σύντομους συνδέσμους, οι οποίοι στη συνέχεια ενσωματώνονται σε κωδικούς QR.

Παράδειγμα μηνύματος ηλεκτρονικού ταχυδρομείου phishing που εντοπίστηκε από τα προϊόντα της ESET ως QRCode/Phishing (πηγή: Έκθεση απειλών της ESET για το πρώτο εξάμηνο του 2026)

Ακόμη και ομάδες APT που χρηματοδοτούνται από κράτη χρησιμοποιούν το «quishing». Τον Ιανουάριο του 2026, το FBI ανακοίνωσε ότι η ομάδα Kimsuky, που έχει σχέση με τη Βόρειο Κορέα, εστίαζε σε κέντρα μελετών, ακαδημαϊκά ιδρύματα και κρατικούς φορείς των ΗΠΑ και άλλων χωρών, χρησιμοποιώντας QR κωδικούς που είχαν ενσωματωθεί σε μηνύματα ηλεκτρονικού ταχυδρομείου τύπου spearphishing. Τα δολώματα διέφεραν. Σε ορισμένες περιπτώσεις, τα μηνύματα υποστήριζαν ότι η σάρωση του κωδικού θα οδηγούσε τους χρήστες σε ερωτηματολόγια, σελίδες προορισμού για εγγραφή ή ασφαλείς μονάδες αποθήκευσης.

Πώς να προστατεύσετε την επιχείρησή σας από το QR phishing

Ευτυχώς, ένας σωστά σχεδιασμένος συνδυασμός αλλαγών σε επίπεδο ανθρώπινου δυναμικού, διαδικασιών και τεχνολογίας μπορεί να συμβάλει στη σημαντική μείωση του κινδύνου «quishing».

Ξεκινήστε από τους ανθρώπους. Ενσωματώστε την καταπολέμηση του «quishing» στα προγράμματα εκπαίδευσης ευαισθητοποίησης των χρηστών και στις ασκήσεις προσομοίωσης. Ενθαρρύνετε τους υπαλλήλους να αποφεύγουν να σαρώνουν κωδικούς QR σε ανεπιθύμητα μηνύματα ηλεκτρονικού ταχυδρομείου και να αναφέρουν οτιδήποτε ύποπτο. Εάν πιστεύουν ότι προέρχεται από αξιόπιστη πηγή, θα πρέπει να επικοινωνήσουν με τον αποστολέα, χρησιμοποιώντας στοιχεία επικοινωνίας που έχουν λάβει από άλλη πηγή εκτός του μηνύματος.

Στη συνέχεια, εξετάστε την εφαρμογή τεχνικών μέτρων ελέγχου, συμπεριλαμβανομένης της ασφάλειας του ηλεκτρονικού ταχυδρομείου, προκειμένου να ελαχιστοποιήσετε τον κίνδυνο να καταλήξουν μηνύματα ηλεκτρονικού ταχυδρομείου τύπου «quishing» στα εισερχόμενα των χρηστών. Προσθέστε μια λύση ασφάλειας για κινητές συσκευές στις συσκευές των υπαλλήλων, ώστε να αποκλείεται η πρόσβαση σε κακόβουλες ιστοσελίδες. Επίσης, απαιτήστε την χρήση επαλήθευσης ταυτότητας πολλαπλών παραγόντων (MFA) ανθεκτικής στο phishing σε όλους τους ευαίσθητους λογαριασμούς, έτσι ώστε ακόμη και αν οι χρήστες εξαπατηθούν, οι επιτιθέμενοι να μην μπορούν να αποκτήσουν πρόσβαση στα εταιρικά συστήματα. Τα εργαλεία διαχείρισης κινητών συσκευών (MDM) μπορούν να σας βοηθήσουν να διασφαλίσετε ότι όλες οι συσκευές προστατεύονται σύμφωνα με την εταιρική πολιτική.

Μειώστε την επιφάνεια επίθεσης, επιβάλλετε την αρχή του ελάχιστου δικαιώματος και την πρόσβαση «just-in-time». Διατηρήστε όλα τα λειτουργικά συστήματα κινητών συσκευών και το εταιρικό λογισμικό ενημερωμένα, συμπεριλαμβανομένων των εργαλείων ασφαλείας. Επίσης, πραγματοποιείτε συνεχή παρακολούθηση για ύποπτες δραστηριότητες. Εξασκηθείτε στην εφαρμογή σχεδίων αντιμετώπισης συμβάντων σε περίπτωση που συμβεί το χειρότερο σενάριο.

Δεν είναι πια καινοτομία

Οι κωδικοί QR έχουν εξελιχθεί από κάτι το καινοτόμο σε ένα συνηθισμένο φαινόμενο στον επιχειρηματικό κόσμο. Το ίδιο ισχύει και για το «quishing». Η εξοικείωση δεν πρέπει να οδηγεί σε εφησυχασμό. Ακριβώς όπως το προσωπικό έχει συνηθίσει να αντιμετωπίζει με καχυποψία το παραδοσιακό phishing μέσω email και SMS, μπορεί να εκπαιδευτεί να αναγνωρίζει τα προειδοποιητικά σημάδια μιας πιθανής απόπειρας «quishing», τονίζει ο Muncaster από το WeLiveSecurity της ESET.  Υπό τις σωστές συνθήκες, η εξοικείωση μπορεί να ενισχύσει την ασφάλεια.