Quishing ist Phishing über einen QR-Code, dessen Ziel sich im Bild versteckt. Das Wort setzt sich aus QR-Code und Phishing zusammen.
- Quishing
Phishing über einen QR-Code, dessen Ziel sich im Bild versteckt.
Beispiel: „Das Quishing steckte in einer Rechnung, deren QR-Code auf eine fremde Seite führte.“Auch: Verbreitet sind Aufkleber über echten Codes an Parkautomaten und Ladesäulen, Codes in Rechnungen und Briefen sowie Codes in E-Mails, die als angebliche Anmeldung für ein Konto ausgegeben werden.
Abgrenzung zum Smishing: Dort steht der Link im Text. Hier steckt er in einem Bild, das Filter ohne weitere Prüfung nicht lesen.
Warum Quishing an vielen Filtern vorbeikommt
Weil ein QR-Code für die Prüfung erst einmal nur ein Bild ist. Filter, die Links in Nachrichten bewerten, finden darin keinen Text; erst eine eigene Auswertung des Bildes legt das Ziel offen, und die haben längst nicht alle Systeme. Dazu kommt der Medienwechsel: Der Code wird mit dem privaten Telefon gescannt, womit die Schutzschichten des Firmennetzes übersprungen sind.
Wo Quishing im Alltag auftaucht
An Orten, an denen ein Code erwartet wird. Aufkleber auf Parkautomaten und Ladesäulen führen auf nachgebaute Bezahlseiten. In Rechnungen und Mahnungen ersetzt ein falscher Code den echten Überweisungscode. In Unternehmen kommen Codes in E-Mails dazu, die angeblich zur Einrichtung der Mehr-Faktor-Anmeldung auffordern und dabei eine Sitzung übernehmen, siehe Man-in-the-Middle-Angriff.
Wie sich ein QR-Code vor dem Öffnen prüfen lässt
Die Kamera-App zeigt das Ziel als Vorschau an, bevor sie es öffnet; dort gehört die Domain gelesen, und zwar bis zum ersten Schrägstrich. Codes auf Aufklebern lassen sich am Rand abtasten: Wer eine zweite Schicht fühlt, lässt es bleiben. Für Rechnungen gilt: Überweisungen entstehen im eigenen Banking, nicht über einen Code aus einem Schreiben.