Os códigos QR tornaram-se um reflexo do dia-a-dia. Os cibercriminosos aproveitam-se disso para divulgar links fraudulentos, redirecionar para portais falsos ou instalar aplicações maliciosas.
Graças às simulações que organizo, os seus colaboradores aprendem a analisar um código QR antes de o digitalizar.
O que é o quishing?
O quishing é um ataque que utiliza um código QR falsificado para redirecionar o utilizador para um site fraudulento, obter as suas credenciais ou desencadear uma ação arriscada no seu dispositivo.
O objetivo: aproveitar o reflexo de «digitalizar sem pensar» para contornar as habituais barreiras de segurança (filtros de e-mail, proteções anti-phishing).
Estes ataques têm frequentemente como alvo:
- os colaboradores em viagem,
- os utilizadores que digitalizam cartazes, bilhetes ou materiais impressos,
- as equipas que utilizam aplicações profissionais através de códigos QR,
- os pontos de atendimento ou locais abertos ao público.
Por que simular um ataque de phishing?
- Para sensibilizar para os riscos associados a uma tecnologia considerada «inofensiva».
- Para saber como verificar a autenticidade de um suporte antes de digitalizar.
- Para minimizar os riscos associados a ligações fraudulentas, portais falsos e redirecionamentos enganosos.
- Para sensibilizar os utilizadores para as boas práticas na utilização de dispositivos móveis.
Como funciono?
-
1. Crio códigos QR realistas
Eu crio códigos QR que redirecionam para páginas falsas que imitam serviços internos, logísticos ou administrativos.
-
2. Divulgo estes códigos QR em diversos meios
E-mails, cartazes internos, bilhetes falsos, campanhas móveis… de acordo com as suas necessidades reais.
-
3. Analiso as reações
Digitalizações, abertura da página, introdução de informações: estou a avaliar o nível de atenção que este formato suscita.
-
4. Explico imediatamente os sinais de alerta
Apresento os elementos que deveriam ter dado a entender que algo estava errado: localização, contexto, URL, pedido invulgar...
-
5. Apresento um resumo
Com uma visão clara das equipas mais vulneráveis a este tipo de ataque.
Boas práticas essenciais
- Verifique a origem do suporte antes de digitalizar.
- É preciso ter cuidado com os códigos QR em locais públicos, mas também no ambiente de trabalho.
- Analise sempre o URL antes de continuar.
- Nunca introduza os seus dados de identificação após uma verificação inesperada.
- Comunique qualquer código QR suspeito ao seu serviço de apoio interno.
Ajude os seus colaboradores a identificar um código QR malicioso antes de o digitalizarem.
