Phishing per QR-Code

Ein QR-Code ist nur ein Bild von einer Webadresse, also liest Ihr Handy das Bild und öffnet die Seite, auf die es zeigt. Wohin es geht, sehen Sie erst, wenn Sie schon dort sind, und genau diese Lücke ist der Angriff. Phishing per QR-Code, von manchen Quishing genannt, heißt schlicht, einen schlechten Code dorthin zu kleben, wo Leute einen guten erwarten.

Der Aufkleber ist der ganze Trick, denn jemand druckt einen Code auf billige Folie und klebt ihn über den echten. Das kann am Parkautomaten sein, auf dem Restauranttisch, an der Ladesäule oder auf einer gedruckten Rechnung, und die Seite, die aufgeht, sieht wie die erwartete Bezahlseite aus. Der Fahrer zahlt eine Stunde Parken und gibt gleichzeitig seine volle Kartennummer heraus. Am Automaten selbst hat sich nichts verändert, und deshalb fällt es wochenlang niemandem auf.

Das Handy verbirgt genau das, was Sie retten würde, weil die Adresszeile kurz ist, die Seite den Bildschirm füllt und eine lange Adresse in der Mitte abgeschnitten wird. Ein Name wie pay-parking-city.co wirkt völlig normal, wenn er der einzige lesbare Teil ist. Am Rechner hätten viele kurz gestutzt, doch am Handy gibt es nichts, worüber man stutzen könnte.

Zwei Prüfungen dauern fünf Sekunden, und die erste ist, mit dem Daumen über das Schild zu fahren, bevor Sie scannen. Ein Aufkleber über einem Aufkleber hat eine Kante, an der der Fingernagel hängen bleibt, sodass Sie die Fälschung vorher spüren. Die zweite ist, die angezeigte Adresse zu lesen und nur auf die letzten zwei Wörter vor dem ersten Schrägstrich zu achten, denn dieser Teil sagt, wem die Seite gehört. Alles davor kann jeder frei hinschreiben.

Firmen verschlimmern das ungewollt, denn ein Code, der auf irgendeinen Bezahllink führt, bringt den eigenen Kunden bei, ohne Nachdenken zu scannen und zu zahlen. Drucken Sie die Adresse im Klartext unter den Code, auf Ihrer eigenen Domain, und setzen Sie nie einen Code auf ein Papier, das Geld verlangt. Genau deshalb liegen die Bezahlseiten auf der Hauptdomain, wenn Linkysoft eine Website in einem Projekt für Webdesign und Entwicklung baut.

Wurde ein Code bereits gescannt und die Karte eingegeben, behandeln Sie es als Kartendiebstahl und nicht als Missgeschick. Rufen Sie die Bank an und sperren Sie die Karte, und sehen Sie danach den Auszug nach einer kleinen Testbuchung durch. Gedruckte Codes kommen heute öfter zur Sprache als Passwörter, wenn Leute das Cybersicherheits-Team von Linkysoft um Hilfe bitten.