Vorsicht, Quishing!

Quick Response (QR)-Codes sind längst ein selbstverständlicher Bestandteil unseres digitalen Alltags. Hinter QR-Codes verbergen sich etwa Speisekarten von Restaurants oder Informationen über Sehenswürdigkeiten. Doch auch bei der Nutzung von QR-Codes ist Vorsicht geboten: Cyberkriminelle setzten sie mitunter für Phishing-Angriffe ein, sowohl in E-Mails und in der Briefpost als auch an öffentlichen Orten wie E-Ladesäulen. So etwas nennt man „Quishing“.

Virenscanner erkennen keine QR-Codes

„Quishing“ ist ein Kofferwort aus „QR“ und „Phishing“. Darunter versteht man das Phishing mit QR-Codes. Die Cyberkriminellen nutzen eine Schwäche von IT-Sicherheitslösungen aus. Diese scannen E-Mails zwar stets auf verdächtige Anhänge und URLs. Ein QR-Code, der in eine E-Mail eingebunden ist, wird von ihnen jedoch nur als Bild erkannt und deshalb sehen die Sicherheitsprogramme in einem QR-Code kein Risiko. Die Phishing-Nachrichten mit QR-Codes laufen also „unter dem Sicherheitsradar“ der Anti-Viren-Programme und gelangen unbeanstandet in die E-Mail-Postfächer der Nutzer, an deren Daten die Cyberkriminellen interessiert sind. Sie nutzen das Quishing beispielsweise dazu, um ihre Opfer auf eine gefälschte Website ihrer Hausbank zu locken, wo sie sich dann mit ihrem Passwort und der PIN-Nummer für das Onlinebanking anmelden und dies per TAN-Bestätigung von ihrem Smartphone aus autorisieren. Diese Daten werden dann von den Cyberkriminellen gestohlen, um im Anschluss die Konten ihrer Opfer zu plündern. Solche Fälle sind bislang in Bezug auf die Commerzbank und die Deutsche Bank bekannt geworden.

Quishing ist plattformübergreifend

Quishing-Angriffe nutzen auch die Tatsache aus, dass wir immer mehr Sicherheitsabfragen auf unseren digitalen Endgeräten gewohnt sind, die miteinander verknüpft werden. Es wird somit immer gebräuchlicher, verschiedene Plattformen oder Geräte zu kombinieren (wie Computer und Smartphone), wenn wir etwa Banküberweisungen freigeben. Deshalb sind Nutzer auch nicht überrascht, wenn sie plötzlich in der Mail aufgefordert werden, den QR-Code mit dem Handy zu scannen und damit die eine Plattform, etwa den Computer, zu verlassen.

So gehen die Cyberkriminellen vor

In der Briefpost-Variante des Quishings geht es angeblich um die regelmäßige Überprüfung der Identität eines Bankkunden aufgrund von EU-Vorschriften. Um dies so einfach wie möglich zu gestalten, soll man den auf dem Anschreiben abgebildeten QR-Code einscannen. Beim Online-Quishing wird in der Betreffzeile der E-Mails zum Beispiel auf ein Sicherheitsproblem hingewiesen, bei dem die Nutzer aktiv werden müssten. Ob per Briefpost oder E-Mail: Das Ziel der Betrüger ist immer, dass die Nutzer den QR-Code auf ihrem Smartphone einscannen. Dies leitet die Nutzer nun auf eine gefälschte Website weiter. Die Smartphones erkennen in der Regel nicht, dass die angesteuerte Website gefälscht ist, und lassen diese Weiterleitung zu. „Hier können unterschiedliche Dinge passieren. Entweder laden Nutzer Dokumente herunter, die mit Malware verseucht sind, oder sie geben Login-Daten ein, die direkt an die Betrüger weitergeleitet werden“, erläuterte Patrycja Schrenk, Geschäftsführerin der PSW GROUP, gegenüber dem IT-Sicherheitsmagazin <kes>. Die erbeuteten Zugangsdaten der Nutzer können von den Cyberkriminellen nun dafür missbraucht werden, um Einkäufe auf Online-Plattformen im Namen der ahnungslosen Nutzer zu tätigen oder um Zugang zu geschützten Firmennetzwerken zu erlangen. Bei einer noch relativ neuen Variante des Quishings manipulieren Betrüger Parkautomaten und öffentliche E-Ladesäulen, indem sie bereits vorhandene QR-Code-Aufkleber mit eigenen gefälschten Codes überkleben. Scannen ahnungslose Autofahrerinnen und Autofahrer den Fake-Code, führt dieser sie auf eine nachgemachte Webseite des Parkautomaten- bzw. Ladesäulenbetreibers. Dort hinterlassen die Kundinnen und Kunden ihre Kontodaten, mit denen die Betrüger dann versuchen, Geld abzubuchen. Besonders perfide ist die Masche, bei der nach dem Eintippen der Bezahldaten eine Störung gemeldet wird. Erst im zweiten Anlauf gelangen die Opfer zur richtigen Webseite des Betreibers und vergessen den ersten Fehlversuch.