Малък пикселиран квадрат. Сканирали сте стотици такива в кафенета, паркомати, летищни салони и по масите в ресторантите. Изглежда моментално. Изглежда безопасно. Изглежда рутинно. Точно на това разчитат киберпрестъпниците.

QR кодовете се превърнаха в един от най-доверените и най-малко проверявани портали в ежедневния дигитален живот. Нова категория атака, известна като „quishing“ (QR + phishing / фишинг), в момента е една от най-бързо развиващите се киберзаплахи в световен мащаб, тихомълком заобикаляйки някои от най-сложните корпоративни системи за имейл сигурност в света.

Между август и ноември 2025 г. откриванията на злонамерени фишинг имейли с QR кодове скочиха петкратно – от 46 969 инцидента през август до 249 723 само през ноември. Над 4,2 милиона фишинг заплахи с QR кодове бяха идентифицирани през първата половина на 2025 г. Microsoft регистрира над 15 000 фишинг имейла с QR кодове дневно, насочени само към сектора на образованието.

Какво представлява злонамереният QR код? Обяснение на заплахата Quishing

Quishing работи чрез вграждане на злонамерен URL адрес в изображение на QR код. Когато жертвата го сканира, камерата на телефона ѝ декодира скрития URL адрес и браузърът автоматично отваря злонамерената дестинация – фалшив уебсайт, предназначен да открадне идентификационни данни, детайли от платежни карти или да инсталира зловреден софтуер.

За разлика от фишинг връзката в имейл, където можете да задържите курсора на мишката, за да видите предварителен преглед на URL адреса, QR кодът не разкрива нищо, докато не го сканирате. Злонамереният товар е заключен в изображение, напълно невидимо за простото око и, което е критично, нечетливо за повечето филтри за имейл сигурност.

Традиционните шлюзове за имейл сигурност са проектирани да проверяват текст, да анализират HTML и да оценяват вградени URL адреси. Когато злонамереният товар е кодиран в пикселната матрица на изображение, шлюзът вижда само JPEG или PNG файл; той не открива подозрителни връзки и доставя съобщението в пощенската кутия. Това не е грешка в конфигурацията. Това е архитектурно ограничение.

  • 73% от потребителите сканират QR кодове, без да проверяват дестинацията.
  • Само 36% от фишинг инцидентите с QR се идентифицират правилно и се докладват от получателите.
  • Средното време за кликване върху фишинг товар е едва 21 секунди.

Мащабът на заплахата: В цифри

За да визуализирате колко бързо се разраства този вектор и къде се крият основно тези злонамерени кодове, вижте разпределението на данните по-долу.

Преди да проучим конкретни методи за изпълнение в реалния свят, е от решаващо значение да разберем как тези тактики на разгръщане се разпределят по основните канали за доставка в световен мащаб:

Как работи атаката: Стъпка по стъпка

Разбирането на анатомията на quishing атаката е първата стъпка към нейното разпознаване.

Фаза 1 – Подготовка: Нападателят генерира злонамерен QR код, сочещ към сайт за събиране на идентификационни данни или изтегляне на зловреден софтуер, изгражда имитиращ уебсайт, копиращ реална страница за вход, и често пренасочва URL адреса през доверени услуги за пренасочване, за да маскира дестинацията.

Фаза 2 – Доставка: QR кодът достига до целта чрез имейл (вграден в тялото или в PDF прикачен файл), физически стикери върху паркомати или маси в ресторанти, обикновена поща или приложения за съобщения.

Фаза 3 – Сканирането: Тъй като атаката принуждава жертвата да използва личния си мобилен телефон, целият корпоративен периметър на сигурност бива заобиколен. Сканирането се премества от управляван корпоративен компютър, защитен с откриване на крайни точки, уеб прокси и DNS филтриране, към личен смартфон без нито един от тези контроли.

Фаза 4 – Кражба: Жертвата бива подканена да въведе идентификационни данни за Microsoft 365, банкови детайли или номера на кредитни карти, или изтегля зловреден софтуер, маскиран като легитимно приложение.

Фаза 5 – След компрометирането: Нападателите влизат в корпоративната поща, стартират BEC атаки, продават сесийни токени на пазари в dark web или разполагат ransomware (вируси за откуп) в мрежата.

Сценарий 1: Измама с QR код на паркомат

Измамниците отпечатват професионално изглеждащи стикери с QR кодове и ги залепват директно върху легитимните кодове на паркоматите. Стикерите са ламинирани, за да изглеждат официално, и са проектирани да се сливат безпроблемно с дизайна на паркомата.

Какво се случва: Шофьор сканира това, което изглежда като официален код за паркиране, попада на фалшив сайт за плащане (напр. „poybyphone[.]com“ вместо „paybyphone[.]com“), въвежда името си, данни за автомобила и пълния номер на платежната карта, които отиват директно при нападателя.

Реален пример: В Остин, Тексас, измамници поставиха фалшиви стикери с QR кодове върху десетки градски паркомати, насочвайки шофьорите към измамен сайт за плащане, за да уловят данни от кредитни карти. Подобни кампании засегнаха паркоматите ParkByPhone в множество градове в Обединеното кралство.

Червен флаг: Търсете стикери, поставени върху оригиналната повърхност на паркомата. QR кодът трябва да бъде интегриран в дизайна на панела, а не залепен с покриващ стикер.

Сценарий 2: Подмяна на QR кодове в търговски центрове / ресторанти / търговски обекти

Нападателите физически посещават търговски обекти и покриват легитимните QR кодове със свои собствени. Клиентите в ресторантите сканират това, което изглежда като QR код за менюто, и вместо това попадат на фалшива страница за изкупуване на купони, изискваща „потвърждение“ на платежна карта. Някои варианти подмамват потребителите да изтеглят...