De FBI waarschuwt organisaties voor phishingaanvallen waarbij gebruik wordt gemaakt van QR-codes en roept organisaties op tot het trainen van personeel. De waarschuwing staat in een nieuwe "FLASH alert" waarin wordt gemeld dat een door Noord-Korea gesteunde groep phishingaanvallen met QR-codes uitvoert (pdf). De groep verstuurt phishingmails met QR-codes die onder andere wijzen naar zogenaamde vragenlijsten, 'secure drives' en Google-inlogpagina's.

Volgens de FBI zorgen deze "Quishing (QR-code phishing) aanvallen ervoor dat medewerkers van organisaties van hun beveiligde workstation naar een smartphone gaan. Doelwitten ontvangen de phishingmail op hun werkcomputer, maar scannen de QR-code met een smartphone, waarna ze naar een specifiek opgezette phishingpagina worden doorgestuurd. Bij het doorsturen gaan doelwitten eerst langs "redirectors" die allerlei informatie over het apparaat verzamelen, zoals user-agent, besturingssysteem, ip-adres, taalinstellingen en schermgrootte.

Op basis van deze verzamelde informatie wordt een speciaal voor smartphones geoptimaliseerde phishingpagina getoond die lijkt op de inlogpagina's van Microsoft 365, Okta of een vpn-portaal. Omdat de aanvalsroute plaatsvindt vanaf onbeheerde mobiele apparaten, die buiten Endpoint Detection and Response (EDR) en andere netwerkbeveiligingsmaatregelen vallen, wordt quishing volgens de FBI beschouwd als een "high-confidence, MFA-resilient identity intrusion vector" in bedrijfsomgevingen.

De Amerikaanse opsporingsdienst stelt dat het belangrijk is dat organisaties een meerlaagse beveiligingsstrategie toepassen om de dreiging van phishing via QR-codes tegen te gaan. Zo wordt opgeroepen om personeel over de risico's van het scannen van ongevraagde QR-codes voor te lichten, gebruikers via trainingsprogramma's te helpen om social engineering via QR-codes te herkennen, personeel aan te raden om de herkomst van QR-codes via een secundair kanaal te controleren, duidelijke protocollen op te zetten voor het melden van verdachte QR-codes, het monitoren van alle inlogpogingen en netwerkactiviteiten na het scannen van QR-codes en nog een aantal andere zaken.