Quishing-ul a devenit una dintre amenințările cu cea mai rapidă creștere în cadrul phishing-ului. Ideea este simplă: un cod QR aparent inofensiv ascunde o adresă frauduloasă. Microsoft a cuantificat această creștere: în martie 2026, a detectat 18,7 milioane de astfel de atacuri , comparativ cu 7,6 milioane în ianuarie, reprezentând o creștere de 146% în doar trei luni.
Problema constă în acțiuni care au devenit parte din rutina noastră zilnică. Scanarea meniului unui restaurant, plata parcării, descărcarea unui bilet sau căutarea de informații turistice au devenit ceva obișnuit. Infractorii cibernetici exploatează această familiaritate. Experții de la Áudea, unitatea de securitate cibernetică a Logicalis Spania, subliniază faptul că adresa web rămâne ascunsă până când linkul este deschis, reducând astfel semnele de avertizare pe care un utilizator le-ar putea detecta la prima vedere.
De ce un cod QR ascunde înșelăciunea și trece de la computer la mobil
Spre deosebire de un link text, un cod QR nu afișează adresa URL înainte de scanare. Andrés Cartes Guilarte, consultant în cultura securității cibernetice la Áudea, subliniază că această opacitate este unul dintre cele mai mari avantaje pentru atacatori. Utilizatorul nu poate verifica dacă destinația este legitimă și, în multe cazuri, scanarea se face de pe un telefon mobil , ceea ce mută interacțiunea departe de computerul corporativ și dincolo de controalele de securitate ale companiei.
Odată ce linkul este deschis, victima poate ajunge pe pagini care imită servicii corporative, platforme bancare sau ecrane de autentificare. Obiectivul depinde de tipul de fraudă, dar de obicei implică obținerea de acreditări, date personale sau informații financiare . Această uzurpare de identitate este mai credibilă atunci când mesajul ajunge într-un context familiar, cum ar fi o presupusă comunicare internă sau o notificare de la o entitate pe care utilizatorul o folosește în mod regulat.
Microsoft a identificat, de asemenea, aproximativ 8.300 miliarde de amenințări de tip phishing distribuite prin e-mail în aceeași perioadă. Compania a descris quishing-ul ca fiind vectorul de atac cu cea mai rapidă creștere în această perioadă, o tendință care se aliniază cu utilizarea tot mai mare a codurilor QR în toate tipurile de medii.
PDF-uri, e-mailuri și documente Microsoft 365: canalele preferate
Raportul Barracuda privind amenințările prin e-mail din 2026 dezvăluie câteva descoperiri izbitoare. 70% dintre PDF-urile malițioase analizate conțineau coduri QR care duceau la pagini de phishing. Cu alte cuvinte, documentul acționează ca o deghizare pentru a păcăli victima, astfel încât să aibă încredere în fișier și să nu suspecteze codul din interior.
Același raport detaliază faptul că 56% dintre documentele Microsoft 365 rău intenționate au inclus scanarea codurilor QR. În plus, codurile încorporate direct în corpul e-mailurilor au crescut cu 336% în martie 2026. Atacatorii nu se limitează la atașamente: ei plasează și codul QR în textul mesajului pentru a crește șansele ca cineva să îl scaneze.
Raportul ESET privind amenințările pentru prima jumătate a anului 2026 indică faptul că până la 11% din totalul atacurilor de phishing din prima jumătate a anului au fost efectuate folosind metoda quishing. Firma avertizează că aceste tehnici devin din ce în ce mai sofisticate: unele campanii vizează obținerea de token-uri de autentificare multi-factor, instalarea de programe malware, păcălirea victimelor să descarce aplicații rău intenționate sau utilizarea de aplicații legitime pentru telefon ca parte a escrocheriei.
Josep Albors, directorul departamentului de cercetare și conștientizare de la ESET Spania, explică faptul că atacatorii pot deghiza și mai mult codul prin încorporarea acestuia în fișiere PDF, imagini JPEG sau alte documente sau prin utilizarea de servicii care scurtează adresele URL înainte de a genera codul QR. În același timp, mesajul care însoțește codul poate conține foarte puțin text, eliminând indicii clasice precum greșelile de ortografie, linkurile vizibile sau domeniile neobișnuite.
De la meniul restaurantului la parcare: risc fizic și măsuri de apărare
Pericolul nu se oprește la inbox. Codurile QR plasate în restaurante, magazine, transport public, parcări și servicii turistice prezintă aceeași problemă: nu poți verifica ce pagină vor afișa înainte de a le scana. În plus, în spațiile publice, codul poate fi modificat sau înlocuit cu unul fraudulos.
În august, INCIBE a documentat un caz real care ilustrează perfect riscul. Un utilizator a scanat codul QR al meniului unui restaurant și, după ce a dat clic pe link și a acceptat o fereastră pop-up, a activat din greșeală un abonament premium nesolicitat . Alți clienți din aceeași unitate s-au confruntat cu situații similare, demonstrând că problema nu a fost un incident izolat care a implicat o singură persoană.
Extinderea acestei tehnologii explică o parte din fenomen. Conform datelor compilate de QR TIGER, aproximativ 75% dintre restaurantele din întreaga lume utilizează deja coduri QR pentru a facilita accesul la meniurile digitale. Utilizarea acestui instrument în marketing și publicitate a crescut cu 323% între 2021 și 2023, o cifră care ajută la explicarea motivului pentru care infractorii s-au concentrat asupra lui.
Pentru companii, ESET recomandă includerea scanării codurilor QR în programele de conștientizare și exercițiile de simulare, astfel încât angajații să învețe să recunoască codurile QR suspecte. De asemenea, ESET sfătuiește împotriva scanării codurilor din e-mailurile nesolicitate și recomandă raportarea oricăror mesaje suspecte.
Când un angajat consideră că un mesaj provine de la o sursă de încredere, este recomandabil să îl verifice printr-un canal independent , folosind informații de contact care nu se găsesc în e-mailul în sine. Această verificare împiedică confirmarea să se bazeze pe informațiile trimise de potențialul atacator.
Protecția tehnică contează și ea. Printre măsurile menționate se numără soluțiile de securitate a e-mailurilor, instrumentele de securitate mobilă, gestionarea dispozitivelor prin MDM, autentificarea multi-factor rezistentă la phishing , principiul celor mai mici privilegii, accesul just-in-time, actualizările regulate și monitorizarea comportamentului anormal. În plus, este esențial să se testeze planurile de răspuns la incidente pentru a asigura un răspuns rapid în cazul unui atac.
- Securitatea e-mailului și a dispozitivelor mobile pentru a bloca linkurile și codul rău intenționat.
- Gestionarea dispozitivelor MDM să aplice politici minime.
- MFA rezistent la phishing și principiul privilegiului minim.
- Actualizări, acces la timp și supraveghere continuă.
Modelul relevat de toate aceste cifre este clar: codurile QR și-au găsit o nișă în viața de zi cu zi deoarece sunt convenabile, rapide și omniprezente. Tocmai această omniprezență le face o amenințare dificil de detectat. Cheia este să fim atenți la neașteptate , să verificăm contextul înainte de scanare și să implementăm măsuri de securitate care să însoțească utilizatorul de la e-mail la dispozitivele mobile, inclusiv documente și spații fizice.
