E-Mail-Betrug mit QR-Codes
© freepik / user6309018
- Quishing nutzt QR-Codes zur Umgehung von E-Mail-Schutzsystemen
- FBI stuft Quishing als ernsthafte Bedrohung für Firmen ein
- Gefälschte HR-Mails zählen zu den häufigsten Angriffsmethoden
Sicherheitsforscher und Behörden warnen vor sogenannten Quishing-Angriffen. Dabei werden QR-Codes in E-Mails eingesetzt, um Empfänger auf betrügerische Webseiten zu locken. Quishing nutzt QR-Codes zur Umgehung von E-Mail-Schutzsystemen, da die eigentlichen Zieladressen nicht als normaler Link sichtbar sind und klassische Sicherheitskontrollen dadurch häufig umgangen werden. In einem aktuellen Fall erhielt ein Medienunternehmen eine E-Mail, die angeblich von der Personalabteilung stammte und auf eine Leistungsbeurteilung sowie Gehalts- und Leistungsanpassungen verwies, wie MediaPost berichtet.
Der Empfänger sollte den enthaltenen QR-Code scannen, um auf seine angebliche Personalakte zuzugreifen. Tatsächlich handelte es sich um einen klassischen Phishing-Versuch. Gefälschte HR-Mails zählen zu den häufigsten Angriffsmethoden, da Themen wie Gehalt, Bewertungen oder Fristen Aufmerksamkeit erzeugen und Druck aufbauen. Nach dem Scannen werden Nutzer häufig auf täuschend echte Login-Seiten weitergeleitet, die bekannte Dienste wie Microsoft 365, Okta oder Unternehmensportale imitieren. Dort versuchen Angreifer, Zugangsdaten und weitere sensible Informationen abzugreifen.
Laut FBI geht die Gefahr inzwischen weit über den Diebstahl einzelner Passwörter hinaus. FBI stuft Quishing als ernsthafte Bedrohung für Firmen ein, weil Angreifer nach erfolgreicher Anmeldung Sitzungstoken übernehmen, Mehrfaktor-Authentifizierung umgehen und dauerhaft Zugriff auf Unternehmenskonten erhalten können. Warnzeichen für solche E-Mails sind unter anderem unbekannte Absenderadressen, künstlicher Zeitdruck, generische Anreden, ungewöhnliche Login-Aufforderungen und QR-Codes als zentrale Handlungsaufforderung. Unternehmen sollten ihre Mitarbeiter daher gezielt für diese Betrugsmasche sensibilisieren und verdächtige QR-Codes niemals ungeprüft scannen.