Quishing คืออะไร ? เทคนิค Phishing ที่แฮกเกอร์ล่อเหยื่อด้วย QR Code

Quishing คืออะไร ? เทคนิค Phishing ด้วย QR Code

เมื่อมีเทคโนโลยีใหม่ ๆ เกิดขึ้น แฮกเกอร์ก็จะหยิบมันมาสรรหาวิธีการหลอกลวงแบบใหม่ตามมาเช่นกัน หนึ่งในภัยคุกคามที่เพิ่งเกิดขึ้นเมื่อไม่นานนี้คือ "การหลอกลวงด้วยการใช้ "รหัสคิวอาร์ หรือ คิวอาร์โค้ด (QR Code)" หรือที่เรียกกันว่า "Quishing" ซึ่งเป็นการหลอกลวงรูปแบบใหม่ ที่อาศัย QR Code ในการหลอกลวงผู้คน

ในปัจจุบันนี้ เทคโนโลยี QR Code ถูกใช้งานในหลากหลายอุตสาหกรรม และมีการประยุกต์ใช้งานที่หลากหลาย เช่น เป็นวิธีการชำระเงินสินค้าต่าง ๆ, ดูเมนูเพื่อสั่งอาหาร, ฟังไกด์ข้อมูลเสียงตามสถานที่ท่องเที่ยวต่าง ๆ ดังนั้น เราจึงคุ้นเคยกับการใช้งาน QR Code ในชีวิตประจำวันกันเป็นอย่างดี จึงไม่ใช่เรื่องน่าแปลกใจที่ แฮกเกอร์ (Hacker) จะใช้ประโยชน์จากจุดนี้เพื่อสร้างหาผลประโยชน์ ...

การโจมตีแบบ Quishing คืออะไร ? (What is Quishing Attack ?)

คำว่า "Quishing" นั้นจริง ๆ เป็นการผสมผสานระหว่างคำว่า "QR" กับ "Phishing" นั่นเอง แต่ก่อนอื่นเลย ขอเกริ่นถึง QR Code กันก่อนสักเล็กน้อย เผื่อใครไม่รู้จัก QR Code ถูกประดิษฐ์ขึ้นในปี ค.ศ. 1994 (พ.ศ. 2537) โดย Denso Wave บริษัทในเครือของ Toyota Motor Corporation เพื่อแก้ไขข้อจำกัดที่มีอยู่ใน บาร์โค้ด (Barcode) เพื่อใช้ในการติดตามชิ้นส่วนต่าง ๆ ที่ใช้ในการประกอบรถยนต์

ข้อมูลเพิ่มเติม : Phishing คืออะไร ? พบกับการหลอกลวงแบบฟิชชิง 8 รูปแบบ ที่เราควรรู้จักเอาไว้

เมื่อสมาร์ทโฟนมีกล้องความละเอียดสูง ทำให้มันสามารถอ่าน QR Code ได้ อีกทั้ง QR Code สามารถสร้างได้โดยง่าย และไม่มีค่าใช้จ่าย ซึ่งเป็นวิธีที่ช่วยให้ผู้ใช้สามารถเข้าถึง ที่อยู่ URL ที่ยาว หรือซับซ้อนได้อย่างสะดวก ทำให้มันแพร่หลายอย่างที่เราเห็นกันอยู่ในปัจจุบันนี้

แต่ความนิยมของ QR Code ก็ส่งผลให้มันถูกใช้เป็นช่องทางในการโจมตีทางไซเบอร์ตามไปด้วย ในเดือนกันยายน ค.ศ. 2023 (พ.ศ. 2566) เพียงเดือนเดียว การโจมตีเหล่านี้ก็เพิ่มขึ้นถึง 51%

Quishing หมายถึงการฝัง URL ที่เป็นอันตรายลงใน QR Code แทนที่มันจะนำผู้สแกนไปยังเว็บไซต์ที่ปลอดภัยถูกต้องตามกฏหมาย แต่ QR Code นี้จะพาเหยื่อไปยังเว็บไซต์อันตราย ไม่ว่าจะเป็นเว็บไซต์ ฟิชชิ่ง (Phishing), ดาวน์โหลด มัลแวร์ (Malware) หรือกระทำการที่เป็นอันตรายอื่น ๆ

คนส่วนใหญ่ตระหนักรู้ดีว่าไม่ควรเข้าเว็บไซต์ที่ไม่น่าเชื่อถือ ซึ่งตามปกติแล้วเราก็จะสามารถสังเกตได้จาก URL แต่พอเป็น QR Code มันทำให้ผู้ใช้ไม่มีทางรู้ได้เลยว่ามันฝัง URL อะไรเอาไว้ มันอาจเป็นเว็บไซต์อันตราย หรือดาวน์โหลดไฟล์อันตรายได้

การถูกหลอกให้สแกน QR Code นั้นง่ายมาก เพราะปัจจุบันนี้ธุรกิจหลายแห่งใช้ URL ที่ถูกย่อลงในการสร้าง QR Code สิ่งนี้ทำให้ยากต่อการตรวจจับว่า นั่นเป็น QR Code จริง ๆ หรือเป็น QR Phishing กันแน่

การโจมตีแบบ Quishing ทำงานอย่างไร ? (How does Quishing Attack work ?)

การโจมตีด้วยเทคนิค Quishing ก็มีลักษณะการทำงานเหมือนกับการโจมตี Phishing ทั่วไป โดยมักจะมีการส่งอีเมล หรือข้อความที่มีลิงก์อันตราย เมื่อผู้รับคลิกลิงก์นั้น พวกเขาจะถูกนำไปยังเว็บไซต์ Phishing ที่พยายามขโมยข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลการเข้าสู่ระบบ หรือทำการติดตั้งมัลแวร์ ลงในคอมพิวเตอร์ หรือสมาร์ทของเหยื่อ

Quishing จะแตกต่างจากการโจมตี Phishing แบบดั้งเดิมที่ลิงก์มักจะเป็นข้อความแนบมาในอีเมล แต่เพื่อซ่อนความผิดปกติของ URL แฮกเกอร์ได้ใช้ประโยชน์จาก QR Code ที่อยู่ในรูปแบบที่มนุษย์ไม่สามารถอ่านได้ (จริง ๆ ก็อ่านได้ถ้ารู้วิธี แต่ก็ยากมากอยู่ดี)

ซึ่งการเข้าชมเว็บไซต์ที่เป็นอันตรายผ่าน QR Code มีผลกระทบไม่ต่างจากการเข้าชมผ่านวิธีอื่น เช่น การคลิกลิงก์ในอีเมล Phishing หรือเว็บไซต์ Phishing ที่ถูกออกแบบมาเพื่อหลอกให้เหยื่อกรอกข้อมูลการเข้าสู่ระบบ หรือทำการติดตั้งมัลแวร์ลงในอุปกรณ์

สรุปได้ว่า Quishing ก็ใช้เทคนิคเหมือนกับ Phishing แบบดั้งเดิม แต่มีการนำ QR Code มาช่วยปิดบัง URL ทำให้ยากต่อการตรวจจับ และปิดกั้น แทนที่จะเป็นลิงก์ข้อความที่สามารถตรวจจับได้ง่าย

ภาพจาก : https://www.mnemonic.io/resources/blog/quishing-mitigating-qr-code-phishing-threats-via-email-systems/

วิธีป้องกันตัวเองจาก การโจมตีแบบ Quishing (How to protect yourself from Quishing Attack ?)

นี่เป็นเทคนิคที่พอจะช่วยป้องกันให้คุณผู้อ่านไม่ตกเป็นเหยื่อของการถูกโจมตีแบบ Quishing ได้ในระดับหนึ่ง

• สแกน QR Code ด้วยเครื่องมือที่มาพร้อมกับสมาร์ทโฟน เนื่องจากแอปฯ สแกน QR Code ที่ดาวน์โหลดจาก Google Play ส่วนใหญ่แล้ว มีชื่อเสียงที่ไม่ดีนัก 
• อย่าสแกน QR Code ที่ไม่รู้ที่มาที่ไป โดยเฉพาะหากมีข้อความที่พยายามหลอกล่อให้คุณสแกนเพื่อรับรางวัลที่น่าสนใจเกินจริง
• ปิดคุณสมบัติดาวน์โหลดอัตโนมัติในเว็บเบราว์เซอร์
• ตรวจสอบ URL ของ QR Code ที่กำลังสแกน ก่อนจะกดเปิดเข้าชมลิงก์

ตัวอย่างการ การโจมตีแบบ Quishing ที่เกิดขึ้นจริง (Real-World Examples of Quishing Attack)

การโจมตีแบบ Quishing ที่พบบ่อย และเกิดขึ้นแล้วคือ แฮกเกอร์ได้นำ QR Code ปลอมไปแปะที่เครื่องชำระเงินตามลานจอดรถ ผู้ขับรถที่ไม่มีเงินสดติดตัว จึงสแกน QR Code เพื่อชำระค่าจอดรถ แล้วถูกนำไปยังเว็บไซต์หลอกลวงที่จะขอรายละเอียดบัตรเครดิต เหยื่อมักไม่รู้ตัวว่าถูกหลอก จนกระทั่งมีรายการใช้จ่ายที่ผิดปกติปรากฏในรายการเดินบัญชีภายหลังเป็นเวลาหลายวัน หรือหลายสัปดาห์

อีกการโจมตีที่กำลังมาแรงคือ ส่งเอกสารปลอมที่แอบอ้างว่าส่งมาจากบริษัทสาธารณูปโภค หรือหน่วยงานรัฐบาล เหยื่อจะได้รับการเอกสาร หรือใบเสร็จปลอมที่ดูเป็นทางการ เพื่อหลอกล่อให้สแกน QR Code เพื่อชำระค่าบริการ แต่แทนที่จะเป็นการชำระบิลค่าบริการของตนเอง เหยื่อจะถูกนำไปยังเว็บไซต์ปลอมที่ออกแบบมาเพื่อขโมยข้อมูลทางการเงินโดยเฉพาะ