What is Quishing (QR Phishing)?

クイッシングはどのように機能しますか?

クイッシュ攻撃は、従来のフィッシング攻撃と同様に機能します。 多くの場合、フィッシング攻撃には、悪意のあるリンクを含む電子メールまたはテキストメッセージが含まれます。 受信者がリンクをクリックすると、ログイン資格情報などの機密情報を盗んだり、コンピューターに マルウェア をインストールしたりしようとするフィッシングサイトに誘導されます。

クイッシュ攻撃は、従来のフィッシング攻撃とは異なり、電子メール内のリンクの形式が異なります。 テキストベースのリンクの代わりに、悪意のあるWebサイトはQRコードで指し示されます。 ユーザーがQRコードをスキャンすると、デバイスは指定されたリンクを抽出し、ユーザーをそのURLに誘導できます。

クイッシングは従来のフィッシング攻撃と同じ手法を多く使用しますが、QR コードを使用すると、検出とブロックがはるかに困難になります。 クイッシング攻撃では、メッセージに埋め込まれたリンク(電子メールのテキストをスキャンすることで検出できます)の代わりに、URLにデコードできる画像を使用します。 電子メール内のQRコードを識別してURLを抽出することは、単にメッセージテキストからリンクを読み取るよりもはるかに困難です。

クイッシングの課題

クイッシュは、複数のデバイスが関与するため、組織に固有のセキュリティ上の課題をもたらします。 ユーザーが 1 つのデバイスで QR コードを含むメールを受信した場合、そのコードを別のデバイスでスキャンして、指定された Web ページを開く可能性があります。 これにより、職場のメールアドレスに送信されたクイッシュメールを受信するユーザーが個人のデバイスを使用して悪意のあるQRコードをスキャンする可能性があるため、組織にとって重大なセキュリティ上の課題が生じます。 これらのデバイスは、組織のサイバーセキュリティポリシーの対象ではなく、同じレベルのアンチフィッシング防御を欠いている可能性があるため、潜在的な侵害の防止、検出、追跡が困難になります。

また、企業はクイッシング攻撃に対処する際に、逆のリスクに直面します。 個人の電子メールに送信されたクイッシング電子メールは、企業のアンチフィッシング防御によってブロックされません。 ユーザーがビジネスデバイスでそのメールをスキャンした場合、脅威が会社のセキュリティソリューションによって検出およびブロックされない場合、会社のデバイスがマルウェアに感染する可能性があります。

クイッシング攻撃の成功を防ぐ方法

組織や個人は、次のようなさまざまな方法を使用して、クイッシング攻撃から保護できます。

• ユーザーを教育する: クイッシングの脅威と、信頼できない電子メールからQRコードをスキャンするリスクについて従業員に教えます。
• メールスキャナーを使用する: メールスキャナーは、テキストコンテンツ、QRコード自体、またはその他のフィッシングの危険信号に基づいて、クイッシングメールを識別できる場合があります。
• 信頼できないQRコードをスキャンしないでください。 不明または信頼できないソースからのQRコードをスキャンしないでください。
• スキャン後にURLを確認します。 QRコードをスキャンした後、URLを参照したり、機密情報を入力したりする前に、URLを確認してください。
• 多要素認証 (MFA) を有効にします。MFAを有効にして、ユーザーの資格情報がフィッシングサイトに入力された場合の潜在的な影響を軽減します。