O quishing é um ataque de phishing que utiliza códigos QR para enganar as pessoas e levá-las a visitar sítios Web prejudiciais ou a descarregar malware. Os cibercriminosos exploram a versatilidade dos códigos QR, que podem conter ligações, documentos ou portais de pagamento, para enganar as pessoas.

Durante a pandemia de Covid-19, um pequeno quadrado a preto e branco estabeleceu-se firmemente entre as selfies de vacinas e os toques de recolher: o código QR. Pouco antes, tinha sido dado como morto e não valia a pena pegar no smartphone, mas agora transformou-se rapidamente numa espécie de ferramenta universal. Testes rápidos, aplicações de alerta, certificados de vacinação, bilhetes de comboio, pagamentos sem contacto… ou, em suma: a porta de entrada para a vida normal. É um facto bem conhecido que não há luz sem sombra. Por isso, o potencial de perigo que está contido nesta pequena caixa discreta é aterrador.

Quishing: o regresso calamitoso do código QR

Código de barras bidimensional, parece ser o resultado natural e orgânico do nosso desejo de aceder a tudo da forma mais rápida e fácil possível – com tudo à distância de um simples scan. Permite a transferência imediata de grandes quantidades de informação. Tanto a sua facilidade de utilização como a pandemia serviram de catalisadores para um novo tipo de ataque de phishing: o chamado quishing, um termo que combina “QR” e “phishing”.

Nos ataques tradicionais de phishing, os cibercriminosos utilizam e-mails, mensagens instantâneas ou sítios Web duvidosos para obter palavras-passe e outros dados pessoais.

No caso dos ataques de quishing, os criminosos aproveitam as caraterísticas acima mencionadas dos códigos QR para esconder informações enganosas por detrás dos cheques a preto e branco. Os e-mails de quishing são normalmente concebidos com grande cuidado – poderias até dizer, com amor. São feitos para parecerem autênticos. Aparentemente, já não está em voga entre os cibercriminosos tentar seduzir potenciais vítimas com a notícia de uma herança multimilionária. Mesmo que alguns dos potenciais destinatários gostassem certamente de uma viagem imaginária a uma residência de verão de sonho em Saint-Tropez, especialmente durante os meses sombrios de inverno.

Os cibercriminosos de hoje preferem uma abordagem subtil. Procura as fraquezas do espírito humano. A sensação de tortura insuportável quando tens de lidar com procedimentos problemáticos. Por isso, ameaçam fechar uma conta bancária ou a conta de utilizador de uma loja online favorita.

A conceção sem contacto seguida da queda

Os mecanismos de segurança convencionais apenas analisam anexos padrão e URLs. No entanto, essas medidas tendem a falhar com os códigos QR. Entre os esquemas mais populares estão os pedidos de aceitação de uma política de dados actualizada ou pedidos de criação de um novo procedimento de segurança. E, claro, tudo isto pode ser feito de forma simples e cómoda através da leitura de um código QR. A caixa de ferramentas dos criminosos contém até documentos importantes, que podem ser descarregados sem esforço através de um código QR.

É compreensível que os destinatários queiram livrar-se desta desagradável mistura de emoções o mais rapidamente possível: a impressão de serem forçados a agir, combinada com o desejo de se voltarem para coisas mais agradáveis agora mesmo. Mas quem é que não gosta de saborear a sensação de produtividade depois de ter resolvido aquele problema incómodo do banco? A leitura do código é apenas uma questão de segundos – muitas vezes com consequências desastrosas. Ao contrário do caso de Santa Maria, esta conceção sem contacto pode transformar-se em pecado.

Moreias à espreita de dados

Aqueles que aceitam os pedidos enganosos dão por si em sites falsos, elaborados com grande atenção aos pormenores. Afinal, o cabeçalho tem de ter exatamente o mesmo tom de azul real que o logótipo do Volksbank que foi retirado do site original. São utilizadas várias técnicas para disfarçar as ligações maliciosas e contornar as mensagens de aviso. Um método comum consiste em utilizar indevidamente sistemas de gestão de conteúdos como o WordPress e os seus plugins. Escondidos atrás de páginas de destino falsas, atraem potenciais vítimas para a sua armadilha. Também há relatos de cibercriminosos que utilizam o servidor proxy de feeds do Google “FeedBurner” para fins de redireccionamento. Outra prática comum é a utilização de um domínio personalizado para o processo de redireccionamento, bem como para o próprio site de phishing. O perigo é iminente, mesmo que os sistemas de defesa contra malware não dêem o alarme.

Uma vez criada a ilusão perfeita, os cibercriminosos só querem uma coisa: dados pessoais. Como uma moreia à espreita na sua caverna, à espera de se apoderar dos nomes de utilizador e das palavras-passe. Demasiados destinatários esquecem-se de todas as precauções quando o dia de trabalho está a chegar ao fim, com um copo de sol a chamar por eles a partir do terraço. Não vêem a letra adicional no URL e, poucos segundos depois, os seus dados são introduzidos na interface de registo de aspeto enganador e realista. Os URLs de phishing dirigidos aos clientes da Sparkasse começam frequentemente por “spk-“, enquanto que “vr-” é um prefixo comum para sites falsos do Volksbank.

Em ambientes profissionais, existe um risco particular quando smartphones privados contornam os mecanismos de segurança interna de uma empresa. O quishing é ideal para este fim. Depois de o código perigoso ter sido digitalizado, o conteúdo malicioso infiltra-se secretamente no dispositivo móvel. A partir daí, chega rapidamente às caixas de correio eletrónico, aos detalhes de contacto ou aos documentos que são geridos através de soluções na nuvem. A porta de entrada perfeita. Se um ataque deste tipo ocorrer e afetar dados críticos, é provável que o fogo se espalhe e infecte os recursos da empresa. Um tipo de malware que tem atraído recentemente uma atenção especial é o ransomware. O seu potencial de ameaça é enorme. Um imperativo sinistro e, de acordo com o BSI (Gabinete Federal Alemão para a Segurança da Informação), a sua capacidade de dano é multiplicada quando afecta as redes das empresas.

Ecrã de amostras de acabamento

Correspondências electrónicas de quishing do Volksbank & Sparkasse

Reginheris digital

O objetivo do ransomware é encriptar os dados do utilizador. Uma vez concluído este processo, a vítima depara-se com um pedido de resgate. O número de empresas afectadas é chocantemente elevado. Os seus processos informáticos e comerciais são interrompidos. Além disso, os criminosos ameaçam frequentemente divulgar ou vender os dados. Visam empresas de todas as formas e dimensões. De acordo com o Cyber Readiness Report publicado pela Hiscox em 2022, 48% das empresas alemãs pagam um resgate após um ataque deste tipo. O montante extorquido é frequentemente da ordem dos seis dígitos de euros. No entanto, de acordo com o BSI, em alguns casos, foram exigidas quantias de oito dígitos.

Muitas vítimas ficam chocadas quando descobrem que os criminosos continuam a fazer exigências mesmo depois de terem pago. Poder-se-ia pensar que os criminosos poderiam ter surgido de um documentário de história moderadamente excitante. Estes cenários fazem lembrar o ano de 845, quando o líder viking Reginheri cercou Paris. Carlos, o Calvo, rei da França Ocidental, decidiu que a resistência era inútil e pagou uma soma de 7.000 libras de prata para que as tropas dinamarquesas se retirassem. À semelhança dos seus colegas do ciberespaço, 1200 anos mais tarde, os nórdicos e as damas de escudo não conseguiram resistir à tentação de extorquir mais pagamentos. Por isso, continuaram os seus ataques.

Os criminosos modernos podem não ostentar barbas trançadas ou machados de batalha nos ombros, mas levam a sério as suas exigências, mesmo quando o resgate já foi pago. Quer cedam ou não às tentativas de extorsão, as consequências são geralmente graves para os indivíduos, as empresas e as instituições públicas. O quishing pode causar danos enormes: perda de dados e de reputação, violações do RGPD ou perdas financeiras, para citar apenas alguns exemplos.

Como posso proteger-me do Quishing?

A questão pode não ter o mesmo potencial cinematográfico dos ataques vikings, mas tem o mesmo suspense: como te podes proteger da pesca?

“Em caso de dúvida, não digitalizes nenhum código QR” – esta é uma resposta bastante óbvia, mas ainda assim válida. No entanto, os problemas tendem a surgir nos casos em que não parecem existir quaisquer dúvidas. Os cibercriminosos são hábeis na exploração de disposições e necessidades humanas profundamente enraizadas para manipular indivíduos – a chamada engenharia social. Basta um pouco de ignorância para completar o cocktail da catástrofe. É por isso que é tão difícil protegermo-nos sem falhas. No entanto, existem algumas regras simples que ajudam a minimizar o risco:

    • Trata os códigos QR como se fossem links. Quer os encontres em cartazes de campanhas de guerrilha, em documentos ou em mensagens de correio eletrónico, os códigos QR são essencialmente ligações e apresentam os mesmos riscos.

    • Não introduzas dados sensíveis. Os fornecedores de serviços respeitáveis nunca enviarão um e-mail a pedir-te que forneças credenciais de início de sessão confidenciais.

    • Verifica sempre o endereço de e-mail ou a barra de endereços do browser se já estás a aceder a uma página web duvidosa.

    • Verifica cuidadosamente o conteúdo das mensagens de correio eletrónico e dos sítios Web. Os erros de digitação divertidos já não são uma caraterística distintiva da cibercriminalidade. A maioria dos textos está bem redigida. No entanto, o BSI menciona várias caraterísticas que devem levantar suspeitas, mesmo que apenas uma delas se aplique:

    1. Necessidade urgente de ação

    1. Ameaças de consequências graves em caso de incumprimento

    1. Pedido de introdução de dados sensíveis

    1. O e-mail contém ligações, códigos QR ou formulários

    1. Pedidos invulgares de uma pessoa ou organização conhecida

    • Em caso de dúvida, verifica novamente através de um canal de comunicação oficial do prestador de serviços em questão

    • Nunca descarregues ou abras ficheiros de anexos de correio eletrónico ou de sítios Web, a menos que tenhas a certeza absoluta de que são genuínos.

Utiliza a autenticação de dois ou vários factores. Mesmo que os criminosos consigam deitar a mão aos teus dados, faltar-lhes-á um fator adicional para iniciar sessão.

Tal como as imagens dos pulmões dos fumadores nas embalagens de cigarros, o medo e as regras de conduta simplificadas só têm um sucesso moderado – são normalmente esquecidas ao fim de poucos dias. Isto significa que a segurança da informação deve ser integrada na filosofia da empresa. Por isso, a nossa dica mais importante é a realização de uma formação contínua de sensibilização para a segurança e a promoção da sensibilização na tua empresa. Afinal, a ignorância dos funcionários em relação a essas questões ainda é o maior problema quando se trata dos vários riscos relacionados ao tabnabbing ou a outros ataques cibernéticos. Explora a forma como o nosso programa de sensibilização de formação cibernética para funcionários pode reforçar as defesas da tua organização contra o tabnabbing e várias outras ameaças online.