Заброшенный QR-код компании можно превратить в ловушку для фишинга
Старые корпоративные QR-коды могут внезапно начать вести на сайты злоумышленников. Исследователь безопасности Фарзан Карими обнаружил способ перехватывать заброшенные брендированные домены QR-кодов через сервис QR Tiger. Он назвал атаку «QR Jacking».
Схема особенно неприятна тем, что пользователь сначала видит знакомый корпоративный адрес. Только после этого его перенаправляют на страницу, которую контролирует атакующий.
Как перехватывают старые QR-коды
QR Tiger позволяет компаниям использовать собственные короткие адреса вместо стандартных ссылок сервиса. Например, поддомен вроде qr.company.com можно направить на инфраструктуру QR Tiger и применять его в рекламных кампаниях.
Проблема возникает после прекращения использования сервиса. По данным Карими, QR Tiger проверяет, указывает ли DNS-запись домена на платформу, но не требует отдельного подтверждения того, что новый пользователь действительно контролирует этот домен.
Если компания перестает пользоваться интеграцией, но оставляет DNS-запись, поддомен может остаться привязанным к QR Tiger. При этом, если домен больше не зарегистрирован в сервисе, другой пользователь QR Tiger способен добавить его в свой аккаунт и направить посетителей на собственный сайт.
Для этого злоумышленнику не требуется доступ ни к DNS компании, ни к ее внутренним системам.
Карими говорит, что обнаружил сотни потенциально уязвимых поддоменов в производственном секторе, здравоохранении, финансовых услугах и технологиях. Названия компаний исследователь публично не раскрыл.
Старый QR-код продолжает работать
Самая опасная часть истории связана с уже напечатанными кодами. Если QR-код находится на упаковке, вывеске, рекламном материале или другом физическом носителе, компания может забыть о нем спустя годы.
Карими подтвердил атаку на QR-код из старой кампании. Пока его брендированный домен продолжает указывать на QR Tiger, код остается потенциальной точкой входа.
Телефон открывает знакомый адрес компании, после чего пользователь перенаправляется на выбранный атакующим ресурс. В демонстрации использовалась страница исследователя, однако в реальной атаке на ее месте может оказаться поддельная форма входа для кражи паролей или страница оплаты.
Особенно неприятный момент здесь в доверии к самому QR-коду. Пользователь видит знакомый бренд и привычный домен, поэтому проверяет ссылку значительно реже, чем при обычном переходе по подозрительному адресу.
Пять месяцев без исправления
Карими сообщил QR Tiger об уязвимости, однако, по его словам, через пять месяцев проблема все еще оставалась неисправленной. Исследователь также обнаружил похожие механизмы проверки владения доменами у других QR-сервисов и сообщил, что отдельные результаты раскроет позднее.
Для компаний рекомендация достаточно конкретная: проверить DNS-записи всех поддоменов, связанных с QR-платформами, и удалить те, которые больше не используются или не находятся под контролем организации.
Для самих QR-сервисов проблема решается на уровне процедуры регистрации. Перед привязкой собственного домена можно требовать независимое подтверждение владения, например уникальную DNS TXT-запись.
Пользователю остается проверять конечный адрес после сканирования. Если QR-код внезапно открывает страницу авторизации или оплаты, безопаснее закрыть ее и самостоятельно открыть официальный сайт или приложение компании.
