Wiadomość od działu informatyki: logowanie dwuskładnikowe trzeba skonfigurować od nowa do piątku, kod do zeskanowania jest w załączeniu. Żadnego odnośnika w treści, żadnego załącznika, tylko kwadratowy wzór. Właśnie o to chodzi — i nie jest to przypadek, tylko powód całej konstrukcji.
Dlaczego obraz przechodzi obok filtrów
Filtr oceniający pocztę przychodzącą bada odnośniki. Odczytuje adresy z treści, porównuje je z rejestrami znanych stron oszukańczych, sprawdza wiek domeny i w razie potrzeby idzie za przekierowaniem, żeby zobaczyć, gdzie się kończy.
Wszystko to zakłada, że adres występuje jako tekst. W kodzie QR występuje jako wzór czarnych i białych pól. Dla filtru to obraz — dokładnie tak samo jak logotyp albo zdjęcie.
Druga część waży więcej
To, że filtr nic nie znajduje, jest dopiero połową efektu. Drugą połową jest zmiana urządzenia.
Kod QR skanuje się telefonem. Sprawa opuszcza tym samym dokładnie to środowisko, w którym działają zabezpieczenia:
- Brak sieci firmowej. Wywołanie idzie przez połączenie komórkowe. Filtr sieciowy blokujący znane strony oszukańcze nigdy go nie zobaczy.
- Brak zarządzanego oprogramowania. Na prywatnym telefonie nie działa żadne narzędzie ochronne pracodawcy.
- Malutki pasek adresu. Z długiego adresu na ekranie telefonu widać kilka pierwszych znaków. Adres zaczynający się nazwą firmy i niosący właściwą domenę gdzieś na końcu wygląda tam zupełnie zwyczajnie.
- Brak śladów dla informatyków. Gdy ktoś zechce potem ustalić, co się stało, po stronie firmy nie będzie czego znaleźć.
Atak, który skłania człowieka do zejścia z chronionego urządzenia, ma połowę pracy za sobą.
Preteksty, które się pojawiają
Kod QR wymaga uzasadnienia, inaczej wygląda dziwnie. Zwykłe uzasadnienia się powtarzają:
- Ponowna konfiguracja dwuskładnikowa. Najmocniejszy pretekst, bo czyni skanowanie technicznie wiarygodnym — prawdziwa konfiguracja faktycznie idzie przez kod. Kto zeskanuje, ląduje na odtworzonej stronie logowania.
- Dokument z działu kadr, „ze względów bezpieczeństwa dostępny wyłącznie przez kod". Sprzeczność w codziennym biegu rzadko rzuca się w oczy.
- Powiadomienie o przesyłce z rzekomo należną opłatą.
- Faktura z kodem do zapłaty. W krajach z rozpowszechnionymi płatnościami natychmiastowymi to najkrótsza droga do pieniędzy.
Wszystkie cztery idą tym samym schematem co inne wiadomości oszukańcze: pretekst, termin, jedna jedyna droga załatwienia. Cechy są te same — tylko kliknięcie zastąpiono skanowaniem.
I ta sama sztuczka na papierze
Wariant fizyczny nie wymaga żadnego nakładu technicznego: naklejka na prawdziwym kodzie QR. Na parkomatach, na ogłoszeniach przy ładowarkach, na stojakach w restauracjach. Kod pod spodem zostaje nienaruszony; odczytany zostaje ten na wierzchu.
Środek zaradczy jest nieefektowny i skuteczny: przed zeskanowaniem przy automacie przejechać palcem po kodzie. Naklejkę da się wyczuć.
Co naprawdę pomaga
Obejrzeć adres przed otwarciem. Aplikacje aparatu w iOS i Androidzie pokazują adres docelowy, zanim go otworzą. Ten podgląd jest tą jedną chwilą, w której da się coś rozstrzygnąć — i zwykle zostaje odklikany, bo stoi na drodze.
Czytać koniec domeny, nie początek. W adresie firma.pl.bezpieczne-logowanie.example domeną jest bezpieczne-logowanie.example. Część przed nią jest dowolna i istnieje właśnie po to, żeby ją przeczytać.
Nigdy nie idź za kodem do logowania. Reguła obejmująca wszystko: stronę logowania otwiera się samodzielnie — z zakładki albo z wpisanego adresu. Żadna uczciwa sprawa wymagająca logowania nie staje się gorsza przez to, że drogę wybierze się samemu.
W firmie: wypowiedzieć regułę i jej przestrzegać. „Nie wysyłamy kodów QR do logowania" to komunikat, który rozumie każdy i pod który da się podłożyć każdą wiadomość. Działa jednak tylko dopóty, dopóki własny dział informatyki się go trzyma.
Po stronie filtrów: część systemów odczytuje dziś kody z obrazów samodzielnie i ocenia zawarty adres najzwyczajniej w świecie. To właściwa odpowiedź na poziomie technicznym — tyle że nie wszędzie jest obecna, a zmiana urządzenia pozostaje również wtedy.