اخطاریه مایکروسافت در خصوص میلیون‌ها حمله فیشینگ با استفاده از کدهای QR

کدهای QR که هدف ابتدایی آن‌ها تسهیل دسترسی به لینک‌ها و اطلاعات بود، اکنون به ابزاری محبوب برای انجام حملات فیشینگ تبدیل شده‌اند. مایکروسافت در گزارش امنیتی خود برای سه‌ماهه دوم سال ۲۰۲۶ به این نکته اشاره کرد که در ماه مارس ۲۰۲۶، تعداد حملات فیشینگ که بر اساس کدهای QR انجام گردید، به ۱۸٫۷ میلیون مورد رسید؛ که بالاترین رقم در یک سال گذشته محسوب می‌شود.

در این روش، مهاجم لینک مخربی را در پشت یک کد QR پنهان می‌کند و آن را از طریق ایمیل یا فایل‌های پیوست به قربانی ارسال می‌نماید، معمولاً با ظاهری که به نظر می‌رسد معتبر باشد. با اسکن این کد، کاربر ممکن است به یک صفحه جعلی هدایت شود که از او خواسته می‌شود تا اطلاعات حساسی همچون جزئیات ورود به حساب کاربری‌اش را وارد کند.

یکی از عواملی که جذابیت این تکنیک را برای هکرها افزایش می‌دهد، دشواری در شناسایی محتوای پشت کد QR توسط بعضی سامانه‌های امنیتی است. مایکروسافت خاطرنشان کرده که کدهای QR می‌توانند کاربر را از محیط ایمیل در کامپیوتر به مرورگر موبایل منتقل کنند؛ بنابراین، بررسی‌های امنیتی انجام شده بر روی دستگاه اول ممکن است بر محیط بعدی تأثیری نداشته باشد.

افزایش این حملات در ماه‌های بعد متوقف گردید. بعد از اینکه در ماه مارس به اوج ۱۸٫۷ میلیون حمله رسیدند، در آوریل (فروردین و اردیبهشت) با کاهش ۷ درصدی به ۱۷٫۴ میلیون کاهش یافت. در ماه‌های می و ژوئن (اردیبهشت و خرداد) هم حجم حملات به کاهش بیشتری دست پیدا کرد و در پایان این سه‌ماهه به عدد ۸٫۳ میلیون رسید.

مهم‌ترین نکته این است که کد QR را مشابه هر لینکی در نظر بگیریم و تنها به دلیل ظاهر ساده و بی‌خطر آن، نباید به آن اعتماد کنیم. پیش از کلیک بر روی لینک، لازم است به نشانی مقصد توجه کنیم و در صورت ورود به صفحات ورود به حساب یا پرداخت، باید دامنه سایت را با دقت مورد بررسی قرار داد. دریافت یک کد QR غیرمنتظره در ایمیل یا پیام هم می‌تواند علامتی برای احتیاط بیشتر باشد.

از سوی دیگر، استفاده از QR به‌تنهایی خطرناک نیست و کاربردهای سالم و مثبتی دارد. کاربران می‌توانند برای به اشتراک‌گذاری رمز وای‌فای یا آدرس یک وب‌سایت، کد QR مخصوص خود را ایجاد کرده و فایل آن را دریافت نمایند.

برای این منظور می‌توانید از ابزار ساخت QR کد آنلاین در کاویزو استفاده کنید. این ابزار به کاربر اجازه می‌دهد تا QR کد بسازد و به عنوان یک ابزار شناسایی کدهای QR مخرب یا تشخیص فیشینگ عمل نمی‌کند؛ بنابراین، برای ارزیابی ایمنی یک کد QR ناشناس نباید به آن به‌عنوان روش شناسایی تهدید اتکا کرد.