Vorsicht Quishing: Phishing mit QR-Codes umgeht Schutzmaßnahmen

Im aktuellen Newsletter warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer neuen Phishing-Masche. Beim sogenannten Quishing werden in Phishing-E-Mails keine gefährlichen Anhänge oder Links eingebaut, sondern QR-Codes. Damit lassen sich einige IT-Sicherheitslösungen umgehen. Denn diese scannen Anhänge und URLs, um Phishing-Mails herauszufiltern. Ein QR-Code wird jedoch als harmlose Bilddatei wahrgenommen und überwindet so die Schutzmaßnahmen. In den Mails wird wie üblich behauptet, es läge ein dringendes Problem vor und man müsse den QR-Code scannen, um dieses zu lösen. Über den QR-Code gelangt man dann auf gefälschte Webseiten.

Aktuell nutzen Cyberkriminelle die Quishing-Masche laut der Zeitschrift für Informations-Sicherheit <kes> wohl vor allem, um Nutzerdaten für den Cloud-Service Microsoft 365 zu erbeuten. Beim Scan der QR-Codes gelange das Opfer auf eine sehr überzeugend gefälschte Nachahmung der Microsoft 365 Log-in-Seite. Das BSI empfiehlt, bei Verdacht auf eine Phishing-Nachricht keine Anhänge zu öffnen, Links zu klicken oder QR-Codes zu scannen. Wir empfehlen, im Zweifelsfall den Absender über offizielle Kanäle wie zum Beispiel die Webseite zu kontaktieren, anstatt auf fragwürdige E-Mails zu reagieren.