QR-codes zijn hot. Ze maken ons het leven eenvoudiger en efficiënter, en we gebruiken ze om snel toegang te krijgen tot websites, informatie te delen of betalingen te doen. Maar er zit ook een duistere kant aan die handige blokjes. In deze blog vertelt Wesley de Marie, security engineer bij 2source4, alles over de gevaren van QR-code-phishing. Hij geeft ook tips om je organisatie te beschermen tegen deze groeiende dreiging.
Wat is QR-code-phishing?
Laten we eerst eens kijken naar wat QR-code-phishing precies is. Een QR-code, oftewel Quick Response-code, is niets meer dan een tweedimensionale streepjescode die je met je mobiele apparaat kunt scannen. Het is een handige manier om snel toegang te krijgen tot websites, apps en andere digitale inhoud. Maar het gemak is tegelijkertijd ook het gevaar. Je ziet namelijk niet direct waar de code naartoe leidt. Het is als het klikken op een link zonder te weten waar je terechtkomt.
Wist je dat in de eerste weken van oktober 2023, 22% van de phishing attacks een QR-code bevatte.
Do’s en don’ts
Stel, je bent op je laptop aan het werk en er komt een mail met een QR-code binnen. Het is verleidelijk om die QR-code dan even snel met je telefoon te scannen, zeker als er een mooie beloning of een leuke aanbieding in het spel lijkt te zijn. Soms is de ‘verleiding’ nog veel geniepiger. Je krijgt een mail van ‘de helpdesk van Microsoft’ (not) waarin je wordt gevraagd je wachtwoord te resetten door een QR-code te scannen. Wees altijd voorzichtig! Zeker als het mobiele apparaat een privéapparaat is, is die waarschijnlijk minder beveiligd dan een zakelijke laptop. In zo’n scenario kan het volgende gebeuren: je scant de QR-code met je telefoon, je wordt gevraagd om in te loggen, en zonder veel nadenken deel je je inloggegevens. Zo krijgen hackers toegang tot belangrijke bedrijfsinformatie. Een ander scenario is dat je – in al je onschuld – malware downloadt.
Technologie als bescherming
Gelukkig zijn er technologieën beschikbaar die effectieve bescherming bieden tegen QR-code-phishing. Het begint met het correct configureren van je Microsoft-omgeving, maar dat alleen is onvoldoende. Er zijn krachtige tools beschikbaar, zoals Microsoft Defender voor Office 365. Deze tool maakt gebruik van geavanceerde detectietechnologieën die veel meer doen dan alleen het identificeren en blokkeren van verdachte QR-codes. Ze scannen e-mails en analyseren de URL’s die achter de QR-codes schuilgaan voordat eventuele schade kan worden aangericht. Op die manier heeft Microsoft al 18 miljoen unieke QR-code-phishingaanvallen kunnen detecteren en blokkeren.
Daarnaast beschikt het Microsoft Platform over allerlei beschermingsmaatregelen voor het beter beveiligen van privé apparaten, ook wel Bring Your Own Devices (BYOD) genoemd. Met deze maatregelen krijg je meer controle over wie en hoe er op de Microsoft omgeving aangemeld kan worden vanuit Android & iOS (Apple) apparaten. Het is erg belangrijk om hier aandacht aan te besteden, want 9 van de 10 keer wordt de QR-code met een privé apparaat gescand.
Bewustzijnstrainingen
Een andere effectieve manier om je organisatie te beschermen is door medewerkers deel te laten nemen aan awareness trainingen, ook wel bekend als attack-simulation-trainingen. Binnen je Microsoft-omgeving kun je deze trainingen lanceren en aanpassen aan de behoeften van je organisatie. Op die manier kun je dus ook nep phishing pogingen met QR-codes inzetten om medewerkers te testen op hun alertheid. Als iemand een verdachte QR-code scant, kan je deze persoon meteen een bijbehorende training aanbieden om het cyberbewustzijn te vergroten. Want hoe stevig je je IT-omgeving ook beveiligt, als je medewerkers – onbedoeld – de virtuele deur openzetten, is al je moeite voor niets geweest.
Geïnspireerd?
Wil je kwetsbaarheden voorkomen? Ons team kan je helpen met goed doordachte phishingtests of waardevolle gebruikersbewustzijnstrainingen. Dat kan in allerlei vormen, zoals video’s of interactieve inhoud. Maak vandaag nog een afspraak en ontdek hoe je jouw bedrijf veilig naar een hoger niveau tilt! Verder lezen?
