Quishing: phishing met een QR-code. Herkennen en melden, ook na het scannen
Quishing is phishing met een QR-code. Wie de code scant, komt op een nepwebsite die vraagt om in te loggen of te betalen. De code staat in een mail, een brief of op een sticker, en het adres erachter ziet u pas na het scannen, nog voordat de pagina opent.
Zo verloopt een quishing-aanval, van QR-code tot nepwebsite
De politie noemt quishing een nieuwe vorm van phishing. Als voorbeeld geeft zij een QR-code in een parkeergarage die van het parkeerbedrijf lijkt; wie betaalt, maakt het geld over aan criminelen (Politie, Wat is fraude met QR-codes). Op het werk kan de code ook in een mail of brief staan.
Een code in plaats van een link
In een mail staat de QR-code als afbeelding of in een bijlage, op de plek waar u een link of knop zou verwachten.
Een reden om te scannen
Een document dat ondertekend moet worden, een account dat opnieuw beveiligd moet worden, een betaling of een parkeerboete. Vaak staat er een termijn bij.
Scannen met de telefoon
U scant de code met uw telefoon, buiten uw werkcomputer om. Het adres ziet u maar kort en klein in beeld.
De nepwebsite
De pagina lijkt op de inlogpagina van uw organisatie of op een betaalpagina. Wat u daar invult, komt bij de aanvaller terecht.
Zes signalen dat een QR-code quishing kan zijn
Ziet u een van deze signalen, scan de code dan niet en ga het zelf na.
- Een mail met een QR-code waar u normaal een link of knop verwacht
- Een verzoek om met uw telefoon te scannen om in te loggen of een document te openen
- Een code om uw account, wachtwoord of tweestapsverificatie opnieuw in te stellen
- Haast of een dreiging, zoals een boete, een termijn of een blokkade
- Een sticker die over een andere code is geplakt, op een automaat, poster of laadpaal
- Na het scannen een adres dat niet past bij de organisatie die de code lijkt te sturen
Wat u doet bij een verdachte QR-code: niet scannen, zelf naar de site gaan en melden
Een verdachte QR-code op uw werk meldt u direct bij de juiste persoon. Wie dat is, legt het phishingprotocol van uw organisatie vast; meestal is het de IT-helpdesk.
Scan niet bij twijfel
Een QR-code laat pas na het scannen zien waar hij naartoe leidt. Twijfelt u over de afzender of over de plek waar de code hangt, laat hem dan staan.
Ga zelf naar de website of app
Moet u echt inloggen, betalen of iets ondertekenen, open dan zelf de app of typ het adres dat u kent.
Bekijk het adres voordat het opent
De camera van uw telefoon toont meestal het adres voordat de pagina opent. Past het niet bij de afzender, open het dan niet.
Meld het direct bij de IT-helpdesk
Meld de mail, of de plek waar de code hing, volgens het phishingprotocol van uw organisatie. Dan kan IT collega’s waarschuwen die dezelfde code kregen.
Gescand en iets ingevuld: meld het alsnog
Vertel de IT-helpdesk wat u heeft ingevuld. IT kan dan uw account beveiligen, bijvoorbeeld door uw wachtwoord te laten wijzigen. Heeft u betaald, bel dan ook uw bank.
QR-code phishing test: zo testen wij quishing in uw organisatie
Wilt u weten of uw medewerkers een QR-code scannen die om hun inloggegevens vraagt? Dan oefenen wij quishing met hen als advanced-scenario, dat u los bestelt na een gratis intake. Wie de code scant, komt op een pagina die bij het scenario hoort.
Hoe het scenario eruitziet en hoe ver het gaat, bepaalt u samen met onze specialisten. Wij kunnen het zo ver maken als u wilt, en leggen alles vooraf met u vast, met uw schriftelijke akkoord.
Quishing is te combineren met een phishingtest per mail. Wie meldt of navraag doet bij de helpdesk, houdt uw organisatie bij.
- Los te bestellen als advanced-scenario, na een intake
- Alles vooraf vastgelegd, met uw schriftelijke akkoord
- Te combineren met een phishingtest per mail
- Een eigen rapport over het quishing-scenario
Phishing via de telefoon, per sms en per mail
Vishing
Iemand belt u als collega, helpdesk of bank en wil een code, een betaling of meekijken op uw computer.
Wat is vishingSmishing
Een sms met een link naar een nepwebsite, vaak met haast of een dreiging erbij.
Wat is smishingPhishingtest per mail
Een onschuldige phishingmail op maat voor uw medewerkers, uitgevoerd door BSM, met een eindrapport van onze specialisten.
Phishingtest laten uitvoerenPhishing training
Onze trainers leren uw medewerkers phishing herkennen en melden, in een training die wij voor uw organisatie samenstellen.
Meer over phishing trainingVragen over quishing
Is elke QR-code gevaarlijk?
Nee. Een QR-code verwijst naar een adres, net als een link. Het risico zit in de pagina waar u uitkomt en in wat die van u vraagt.
Wat is het verschil tussen quishing en smishing?
Bij smishing staat de link in een sms. Bij quishing zit het adres in een QR-code, in een mail, een brief of op een sticker. In beide gevallen komt u op een nepwebsite.
Ik heb gescand maar niets ingevuld. Moet ik het melden?
Ja, meld het bij uw IT-helpdesk. Zij gaan na of er iets moet gebeuren en kunnen collega’s waarschuwen.
Komt quishing aan bod in een phishing training?
Dat kan. Elke phishing training van BSM is maatwerk; QR-codes nemen wij op als u dat wilt, met voorbeelden die passen bij het werk van uw medewerkers.
Wie in onze organisatie weet van de test?
Dat bepaalt u. Wij adviseren meestal een vooraankondiging, want die is al een leermoment. Kiest u er bewust voor niets aan te kondigen, dan weten alleen de mensen die u aanwijst ervan.
Quishing testen in uw organisatie: neem contact op voor de mogelijkheden
In de gratis intake kijken wij samen naar uw situatie en adviseren wij een scenario. Daarna ontvangt u een offerte. Liever eerst bellen? +31 (0)20 820 36 93.