Το quishing έχει γίνει μια από τις ταχύτερα αναπτυσσόμενες απειλές στον τομέα του phishing. Η ιδέα είναι απλή: ένας φαινομενικά ακίνδυνος κωδικός QR κρύβει μια δόλια διεύθυνση. Η Microsoft έχει ποσοτικοποιήσει αυτήν την αύξηση: τον Μάρτιο του 2026, ανίχνευσε 18,7 εκατομμύρια τέτοιες επιθέσεις , σε σύγκριση με 7,6 εκατομμύρια τον Ιανουάριο, που αντιπροσωπεύει αύξηση 146% σε μόλις τρεις μήνες.
Το πρόβλημα έγκειται σε ενέργειες που έχουν γίνει μέρος της καθημερινότητάς μας. Η σάρωση ενός μενού εστιατορίου, η πληρωμή για στάθμευση, η λήψη ενός εισιτηρίου ή η αναζήτηση τουριστικών πληροφοριών έχει γίνει κάτι συνηθισμένο. Οι κυβερνοεγκληματίες εκμεταλλεύονται αυτή την εξοικείωση. Ειδικοί από την Áudea, τη μονάδα κυβερνοασφάλειας της Logicalis Spain, τονίζουν ότι η διεύθυνση ιστού παραμένει κρυφή μέχρι να ανοίξει ο σύνδεσμος, μειώνοντας έτσι τα προειδοποιητικά σημάδια που μπορεί να εντοπίσει ένας χρήστης με την πρώτη ματιά.
Γιατί ένας κωδικός QR κρύβει την απάτη και μεταβαίνει από τον υπολογιστή στο κινητό
Σε αντίθεση με έναν σύνδεσμο κειμένου, ένας κωδικός QR δεν εμφανίζει τη διεύθυνση URL πριν από τη σάρωση. Ο Andrés Cartes Guilarte, Σύμβουλος Πολιτισμού Κυβερνοασφάλειας στην Áudea, επισημαίνει ότι αυτή η αδιαφάνεια είναι ένα από τα μεγαλύτερα πλεονεκτήματα για τους εισβολείς. Ο χρήστης δεν μπορεί να επαληθεύσει εάν ο προορισμός είναι νόμιμος και, σε πολλές περιπτώσεις, η σάρωση γίνεται από κινητό τηλέφωνο , γεγονός που μετατοπίζει την αλληλεπίδραση μακριά από τον εταιρικό υπολογιστή και πέρα από τους ελέγχους ασφαλείας της εταιρείας.
Μόλις ανοιχτεί ο σύνδεσμος, το θύμα μπορεί να καταλήξει σε σελίδες που μιμούνται εταιρικές υπηρεσίες, τραπεζικές πλατφόρμες ή οθόνες ελέγχου ταυτότητας. Ο στόχος εξαρτάται από τον τύπο της απάτης, αλλά συνήθως περιλαμβάνει την απόκτηση διαπιστευτηρίων, προσωπικών δεδομένων ή οικονομικών πληροφοριών . Αυτή η πλαστοπροσωπία είναι πιο πιστευτή όταν το μήνυμα φτάνει σε ένα οικείο πλαίσιο, όπως μια υποτιθέμενη εσωτερική επικοινωνία ή μια ειδοποίηση από μια οντότητα που χρησιμοποιεί τακτικά ο χρήστης.
Η Microsoft εντόπισε επίσης περίπου 8.300 δισεκατομμύρια απειλές ηλεκτρονικού "ψαρέματος" (phishing) που διανεμήθηκαν μέσω email κατά την ίδια περίοδο. Η εταιρεία περιέγραψε το quishing ως τον ταχύτερα αναπτυσσόμενο φορέα επίθεσης κατά τη διάρκεια αυτής της περιόδου, μια τάση που ευθυγραμμίζεται με την αυξανόμενη χρήση κωδικών QR σε όλα τα είδη περιβαλλόντων.
PDF, email και έγγραφα του Microsoft 365: τα προτιμώμενα κανάλια
Η έκθεση της Barracuda για τις απειλές μέσω email για το 2026 αποκαλύπτει αρκετά εντυπωσιακά ευρήματα. Το 70% των κακόβουλων PDF που αναλύθηκαν περιείχαν κωδικούς QR που οδηγούσαν σε σελίδες ηλεκτρονικού "ψαρέματος" (phishing). Με άλλα λόγια, το έγγραφο λειτουργεί ως μεταμφίεση για να ξεγελάσει το θύμα ώστε να εμπιστευτεί το αρχείο και να μην υποψιαστεί τον κώδικα που περιέχει.
Η ίδια έκθεση αναφέρει λεπτομερώς ότι το 56% των κακόβουλων εγγράφων του Microsoft 365 περιελάμβανε quishing. Επιπλέον, οι κωδικοί που ενσωματώνονται απευθείας στο σώμα των email αυξήθηκαν κατά 336% τον Μάρτιο του 2026. Οι εισβολείς δεν περιορίζονται στα συνημμένα: τοποθετούν επίσης τον κωδικό QR μέσα στο ίδιο το κείμενο του μηνύματος για να αυξήσουν τις πιθανότητες κάποιος να το σαρώσει.
Η Έκθεση Απειλών της ESET για το Α' Εξάμηνο του 2026 δείχνει ότι έως και το 11% όλων των επιθέσεων ηλεκτρονικού "ψαρέματος" (phishing) κατά το πρώτο εξάμηνο του έτους πραγματοποιήθηκαν χρησιμοποιώντας τη μέθοδο quishing. Η εταιρεία προειδοποιεί ότι αυτές οι τεχνικές γίνονται όλο και πιο εξελιγμένες: ορισμένες καμπάνιες στοχεύουν στην απόκτηση διακριτικών ελέγχου ταυτότητας πολλαπλών παραγόντων, στην εγκατάσταση κακόβουλου λογισμικού, στην εξαπάτηση των θυμάτων ώστε να κατεβάσουν κακόβουλες εφαρμογές ή στη χρήση νόμιμων εφαρμογών τηλεφώνου ως μέρος της απάτης.
Ο Josep Albors, Επικεφαλής Έρευνας και Ενημέρωσης στην ESET Spain, εξηγεί ότι οι εισβολείς μπορούν να αποκρύψουν περαιτέρω τον κώδικα ενσωματώνοντάς τον σε PDF, εικόνες JPEG ή άλλα έγγραφα ή χρησιμοποιώντας υπηρεσίες που συντομεύουν τις διευθύνσεις URL πριν δημιουργήσουν τον κωδικό QR. Ταυτόχρονα, το μήνυμα που συνοδεύει τον κώδικα μπορεί να περιέχει πολύ λίγο κείμενο, εξαλείφοντας κλασικές ενδείξεις όπως ορθογραφικά λάθη, ορατούς συνδέσμους ή ασυνήθιστους τομείς.
Από το μενού του εστιατορίου στο πάρκινγκ: φυσικός κίνδυνος και μέτρα άμυνας
Ο κίνδυνος δεν σταματά στα εισερχόμενά σας. Οι κωδικοί QR που τοποθετούνται σε εστιατόρια, καταστήματα, μέσα μαζικής μεταφοράς, χώρους στάθμευσης και τουριστικές υπηρεσίες παρουσιάζουν το ίδιο πρόβλημα: δεν μπορείτε να ελέγξετε ποια σελίδα θα εμφανίσουν πριν τους σαρώσετε. Επιπλέον, σε δημόσιους χώρους, ο κωδικός ενδέχεται να έχει παραποιηθεί ή να έχει αντικατασταθεί από έναν δόλιο.
Τον Αύγουστο, το INCIBE κατέγραψε μια πραγματική περίπτωση που απεικονίζει τέλεια τον κίνδυνο. Ένας χρήστης σάρωσε τον κωδικό QR του μενού ενός εστιατορίου και, αφού έκανε κλικ στον σύνδεσμο και αποδέχτηκε ένα αναδυόμενο παράθυρο, ενεργοποίησε κατά λάθος μια ανεπιθύμητη premium συνδρομή . Άλλοι πελάτες στο ίδιο κατάστημα αντιμετώπισαν παρόμοιες καταστάσεις, αποδεικνύοντας ότι το πρόβλημα δεν ήταν ένα μεμονωμένο περιστατικό που αφορούσε ένα μόνο άτομο.
Η επέκταση αυτής της τεχνολογίας εξηγεί εν μέρει το φαινόμενο. Σύμφωνα με στοιχεία που συγκέντρωσε η QR TIGER, περίπου το 75% των εστιατορίων παγκοσμίως χρησιμοποιούν ήδη κωδικούς QR για να διευκολύνουν την πρόσβαση σε ψηφιακά μενού. Η χρήση αυτού του εργαλείου στο μάρκετινγκ και τη διαφήμιση αυξήθηκε κατά 323% μεταξύ 2021 και 2023, ένα ποσοστό που εξηγεί γιατί οι εγκληματίες έχουν επικεντρωθεί σε αυτό.
Για τις επιχειρήσεις, η ESET συνιστά την συμπερίληψη της διαδικασίας quishing σε προγράμματα ευαισθητοποίησης και ασκήσεις προσομοίωσης, ώστε οι εργαζόμενοι να μάθουν να αναγνωρίζουν ύποπτους κωδικούς QR. Επίσης, συμβουλεύει να μην σαρώνονται κωδικοί σε ανεπιθύμητα email και συνιστά την αναφορά τυχόν ύποπτων μηνυμάτων.
Όταν ένας υπάλληλος πιστεύει ότι ένα μήνυμα προέρχεται από αξιόπιστη πηγή, συνιστάται να το επαληθεύσει μέσω ενός ανεξάρτητου καναλιού , χρησιμοποιώντας στοιχεία επικοινωνίας που δεν βρίσκονται στο ίδιο το email. Αυτή η επαλήθευση εμποδίζει την επιβεβαίωση να βασίζεται σε πληροφορίες που αποστέλλονται από τον πιθανό εισβολέα.
Η τεχνική προστασία έχει επίσης σημασία. Μεταξύ των μέτρων που αναφέρονται είναι οι λύσεις ασφάλειας email, τα εργαλεία ασφάλειας για κινητά, η διαχείριση συσκευών μέσω MDM, ο πολυπαραγοντικός έλεγχος ταυτότητας ανθεκτικός στο ηλεκτρονικό ψάρεμα (phishing) , η αρχή των ελαχίστων προνομίων, η πρόσβαση just-in-time, οι τακτικές ενημερώσεις και η παρακολούθηση για ασυνήθιστη συμπεριφορά. Επιπλέον, είναι απαραίτητο να δοκιμάζονται τα σχέδια αντιμετώπισης περιστατικών, ώστε να διασφαλίζεται η ταχεία αντίδραση σε περίπτωση επίθεσης.
- Ασφάλεια ηλεκτρονικού ταχυδρομείου και κινητού για να μπλοκάρετε κακόβουλους συνδέσμους και κώδικα.
- Διαχείριση συσκευών MDM να εφαρμόσουν ελάχιστες πολιτικές.
- Ανθεκτικό στο ηλεκτρονικό ψάρεμα (phishing) MFA και η αρχή του ελάχιστου προνομίου.
- Ενημερώσεις, πρόσβαση αμέσως μόλις το επιθυμείτε και συνεχής εποπτεία.
Το μοτίβο που αποκαλύπτεται από όλα αυτά τα στοιχεία είναι σαφές: Οι κωδικοί QR έχουν βρει μια θέση στην καθημερινή ζωή επειδή είναι βολικοί, γρήγοροι και πανταχού παρόντες. Αυτή ακριβώς η πανταχού παρουσία τους καθιστά δύσκολη την ανίχνευσή τους. Το κλειδί είναι να είστε προσεκτικοί με το απροσδόκητο , να ελέγχετε το περιεχόμενο πριν από τη σάρωση και να εφαρμόζετε μέτρα ασφαλείας που συνοδεύουν τον χρήστη από το email έως τις κινητές συσκευές, συμπεριλαμβανομένων των εγγράφων και των φυσικών χώρων.
