什么是 Quishing 或 QR Code Phishing？

假设您收到一封冷冰冰的电子邮件或即时消息，通知您一些付款已发送到您的帐户，而您正要扫描其中的二维码。如果这是恶意二维码，那么只需一瞬间，此操作就可能暴露您的银行帐户、密码和个人数据。  

Quishing 是一种快速增长的网络攻击，它试图使用虚假二维码窃取用户的机密信息。这种战略攻击主要针对企业负责人和高管。据 Abnormal Security Corp. 2024 年的一份报告，高管遭受的二维码钓鱼攻击比普通员工多 42 倍。商业电子邮件入侵 (BEC) 是一种使用虚假电子邮件进行网络攻击的流行方法，在 108 年至 2022 年间增长了 2023%。

随着 二维码在日常生活中的应用日益广泛二维码钓鱼现象日益突出，因此，每一位二维码用户都必须了解与二维码相关的恶意活动或做法，以及防范二维码钓鱼的措施。 

二维码钓鱼或 QR 码钓鱼的含义

“Quishing” 或二维码钓鱼是一种精心策划的手段，旨在诱骗二维码用户访问恶意链接和网站。扫描并点击恶意二维码后，用户将被带到钓鱼网站，从而导致敏感信息泄露。

Quishing 通常会绕过传统安全系统（例如电子邮件安全网关），因为这些系统会将电子邮件中附加的二维码视为无害图像。因此，许多二维码用户成为电子邮件钓鱼的受害者。 

quiishing 如何工作？

当用户有意或无意地点击扫描恶意二维码时出现的欺诈链接时，Quishing 就会起作用。网络钓鱼攻击主要旨在窃取个人和财务信息，例如借记卡或信用卡详细信息、登录凭据或个人身份信息。

诈骗者利用用户的敏感信息进行金融诈骗、身份盗窃、未经授权的账户访问或勒索软件。他们经常通过印刷传单和海报、电子邮件和社交媒体平台使用恶意二维码。 

扫描二维码后，用户将被带到虚假网站或链接。受害者通常会被提示输入敏感信息，例如用户姓名、电子邮件、出生日期、银行详细信息和账户登录密码。

需要关注的关键二维码钓鱼统计数据

• 这款 智能手机二维码扫描使用率快速增长 是导致“Quishing 率上升”的一个重要原因。Statista 表示 近 89 万美国人使用智能手机扫描二维码 2022年，该数字有望达到100亿。2025年，该数字或将达到XNUMX亿用户。  
• 在中国， 10亿台移动设备用于二维码支付 。 
• 据报道， 4.88 年全球智能手机用户将突破 2024 亿，占世界人口的60.42%。

二维码钓鱼也大幅增加。我们来看一些数据：

• 根据 Check Point Software Technologies 的报告， 印度的二维码钓鱼 UPI 诈骗 从 15,000 年的 2022 例增加一倍多至 30,000 年的 2023 多例。 
• 每天有超过 3 亿封网络钓鱼电子邮件被发送从而增加了二维码用户陷入扫码陷阱的可能性。
• Gmail 每天拦截超过 100 亿次网络钓鱼尝试. 
• 正如 Pymnts 所解释的那样，二维码占据了 20% 的网络诈骗.
• 根据 IBM，2024 年全球平均数据泄露成本将达到 4.88 万美元，比去年增加 10%，创历史新高。
• 按照 2024 年网络安全漏洞调查 根据 GOV.UK 的数据，网络钓鱼仍然是最常见的网络安全漏洞和攻击类型，针对的是英国 84% 的企业和 83% 的慈善机构。

我们如何防范二维码网络钓鱼攻击？

以下是保护您的个人信息和避免二维码网络钓鱼的关键见解。 

✅ 切勿接受未经请求的二维码： 当您不认识发件人时，请避免扫描电子邮件或社交媒体帖子中附带的二维码。不要在公共场所随意扫描二维码。请谨慎对待通过电子邮件或社交媒体分享的二维码，尤其是在您没有请求的情况下。

✅ 扫描前验证来源： 扫描二维码前，请确认其真实性，即使您认为知道其来源。您可以在扫描前通过在线搜索或直接联系公司来验证发送者的姓名。

✅ 重新检查二维码网址： 等待一段时间后再点击扫描二维码后出现的 URL。重新检查二维码 URL，看它是否与您知道的公司或您希望访问的网站相匹配。不要点击可疑的 URL。  

✅ 发现网络钓鱼信号： 将您在电子邮件中收到的二维码与保存在 Google Wallet 或 UPI 帐户中的二维码进行比较。您可以看到差异，例如图形错误和电子邮件地址差异。避免扫描会产生紧迫感或语法错误的二维码。  

✅ 请注意网上提供的信息： 不要接受来自未知发件人的电子邮件或短信，要求您提供个人和财务信息。在提供敏感信息（例如联系电话、出生日期、登录凭据、信用卡详细信息等）之前，您必须 100% 确定扫描二维码是安全的。 

企业可以采取一些额外措施来防止自己被淘汰，具体如下：

☑️ 实施双因素身份验证： 电子邮件网络钓鱼是最常见的商业威胁。使用双因素或 多因素认证 将阻止商业电子邮件泄露 (BEC) 攻击者入侵商业电子邮件。 

☑️ 更新软件和安全功能： 将您的软件更新到最新版本，并保留高级安全功能可以帮助您防止网络钓鱼攻击。

☑️ 员工安全意识培训： 传授网络安全意识并培训员工二维码安全知识，可以帮助企业避免被盗版的风险。通过培训，员工可以学会识别 BEC 攻击，并实施确认二维码或付款请求来源等做法。 

如果一个组织已经成为“罢工”的受害者该怎么办？

假设您的组织已经成为二维码钓鱼的受害者。您必须采取以下步骤来阻止骗局进一步蔓延或至少减少损失。以下是您应该采取的方法。 

➡️ 立即移除二维码： 立即从您现有的物理和数字空间（包括印刷海报、菜单、社交媒体和网站）中删除或替换恶意二维码。这将有助于防止网络钓鱼攻击进一步升级。

➡️ 紧急通知顾客和工作人员： 向客户、业务合作伙伴和员工发出有关网络钓鱼攻击的警报，并清楚地解释情况。通过给出如何处理情况的明确指示来建立适当的沟通。及时沟通可以避免客户遭受财务损失和个人数据被盗，防止公司品牌形象或声誉受损。  

➡️ 识别欺诈二维码的来源： 对二维码的来源及其目标进行全面评估。通过确定用户是否被引导至钓鱼网站或下载恶意内容来调查钓鱼动机。及时干预和调查可以保护客户和组织免受进一步损害。 

➡️ 向安全团队报告此事件： 立即向相关部门报告网络钓鱼攻击。例如，如果您的组织有一个单独的安全团队，请在发现或意识到网络钓鱼后立即向该团队报告事件。组织可以向当地网络犯罪部门提出投诉。当局可以采取适当的对策，防止其他组织遭遇同样的事件。 

➡️ 传达问题解决方案： 您的组织解决问题后立即通知您的客户、员工和其他业务利益相关者。您可以向他们通报您处理情况的行动。恢复信心并让客户相信您的组织会支持他们，这一点至关重要。

总结

如今，二维码无处不在，被盗用的可能性也随之而来。二维码用户在使用二维码时必须小心谨慎，尤其是在扫描来自陌生来源的电子邮件、短信或社交媒体帖子中附带的二维码时。 

企业必须意识到二维码用于网络钓鱼攻击的潜在威胁。采取适当的对策将使企业能够保护自己免受二维码网络钓鱼的侵害。

常见问题