QR-codes maken het gemakkelijk om webgebaseerde bronnen te bereiken zonder te worstelen met het kleine toetsenbord van je smartphone. Maar weet je echt wat je krijgt als je er een scant?
De QR-code
Quick Response (QR) codes zijn ineens weer overal. Uitgevonden in 1994 door een bekroond team van Denso Wave, een dochteronderneming van Toyota, heeft de QR-code zijn weg gevonden naar bijna elke branche. Ze zijn als een streepjescode op steroïden. Ze zien er misschien uit als dronken schaakborden, maar de zwart-witte vierkanten vol varkens bevatten veel meer informatie dan de strepen van een streepjescode. En QR-codes kunnen een van een selectie van acties in het scanapparaat activeren, meestal een smartphone.
QR-codes zijn te vinden op productverpakkingen, bush altes en billboards. Ze staan op gedrukt promotiemateriaal zoals tickets, flyers en barmatten. Je ziet ze op bedrijfswagens, in-store acties en pop-up stands op beurzen. Wil je meer weten over het product, het evenement of wat dan ook dat wordt gepromoot? Scan de code met je smartphone.
Je kunt QR-codes vinden die verborgen zijn in servers en andere hardware. Als de bezoekende technicus de handleiding moet raadplegen maar geen exemplaar bij de hand heeft, kunnen ze de QR-code scannen en online toegang krijgen tot de handleiding.
Als u de mobiele LinkedIn-app gebruikt, tikt u op het cluster van vierkanten in de zoekbalk en tikt u vervolgens op 'Mijn code.” Je ziet je eigen persoonlijke QR-code. Het brengt mensen rechtstreeks naar je LinkedIn-profiel. Steeds vaker voegen mensen deze toe aan hun cv. Je kunt zelfs QR-codes zien op begraafplaatsen.
De COVID-19-pandemie heeft de renaissance van de QR-code aangewakkerd. De glorie van QR-codes is dat u niets anders dan uw eigen smartphone hoeft aan te raken om ze te gebruiken. Het is een snel en eenvoudig contactloos systeem en iedereen heeft al een geschikte scanner bij zich. En dat maakt het het perfecte mechanisme om in een pandemie toegang te krijgen tot informatie of deze te verzamelen.
Daarom heeft de komst van COVID-19 ervoor gezorgd dat de QR-code een centrale positie heeft ingenomen in veel bedrijven die routinematig met het publiek omgaan. Restaurants gebruiken bijvoorbeeld QR-codes om het menu weer te geven op de smartphones van diners. Het is niet nodig om een gedrukt menu te hanteren dat sinds wie weet wanneer in het restaurant de ronde doet.
In het Verenigd Koninkrijk is de Track and Trace-applicatie van de National He alth Service gebaseerd op QR-codes. Locaties tonen een aangepaste poster met een locatiespecifieke QR-code erop. Bezoekers scannen de code en de app registreert waar je was en wanneer. Als iemand symptomen van COVID-19 meldt, kunnen de NHS-servers de gegevens verwerken en uitzoeken wie er nog meer met die persoon in contact is gekomen.
Het probleem met QR-codes
Het meest voorkomende gebruik van een naar de consument gerichte QR-code is om een webpagina op uw smartphone te starten. Maar ze kunnen veel meer dan dat. QR-codes kunnen verschillende acties op een smartphone oproepen volgens de informatie in de QR-code.
Voordat u op een weblink klikt, controleert u deze waarschijnlijk visueel op inconsistenties. Het is logisch om te controleren of de webpagina die u gaat bezoeken een verstandige en plausibele naam heeft. Brengt het je echt naar de site die het zegt, of naar een copy-cat-site die je inloggegevens steelt? Met een QR-code weet je het niet. Voor het blote oog zijn ze volledig ondoordringbaar - hun inhoud kan niet door mensen worden gelezen. Het scannen van een QR-code is een sprong in het diepe.
Onze smartphones zijn een avatar van onze echte identiteit. Ze bevatten allerlei persoonlijke gegevens die van onschatbare waarde zijn voor de dreigingsactoren, evenals toegang tot apps zoals online bankieren, PayPal en cryptocurrency-portefeuilles. Een gecompromitteerde smartphone is net zo erg als een gecompromitteerde computer.
Smartphones vervagen de grenzen tussen het digitale privéleven van mensen en hun digitale leven op het werk of op het werk. Sommige mensen die een bedrijfssmartphone hebben gekregen, hebben ook een privé-smartphone. Voor de meerderheid is het gemakkelijker en goedkoper om één smartphone te hebben, de smartphone van het bedrijf, en deze te gebruiken voor zakelijk en persoonlijk gebruik.
Mensen zijn over het algemeen minder veiligheidsbewust bij hun persoonlijke internetgebruik dan bij zakelijk gebruik. Maar als hun smartphone gecompromitteerd raakt, brengt dit het bedrijfsnetwerk in gevaar omdat verbindingsdetails met VPN's en andere accounts door de malware kunnen worden geoogst. Zakelijke e-mails kunnen ook van het apparaat worden overgeheveld.
Natuurlijk hebben werknemers zonder zakelijke smartphone een privé-smartphone en zullen ze die waarschijnlijk verbinden met de zakelijke wifi. Privé-smartphones worden minder snel beschermd door een VPN of eindpuntbeveiligingssuites.
Of het nu een bedrijfssmartphone of een persoonlijk apparaat is, een gecompromitteerde smartphone vormt een risico als deze verbinding maakt met het bedrijfsnetwerk.
En smartphones kunnen worden gecompromitteerd op de werkplek. Het wordt steeds gebruikelijker om een QR-code op een cv of cv op te nemen. Het kan u naar de persoonlijke blog van de sollicitant of hun LinkedIn-profiel leiden, of het kan kwaadaardig zijn. Het verzenden van een nep-cv met een QR-code erop is een rustige manier om een smartphone te compromitteren, met een papieren aanval.
Wat kan een QR-code doen?
QR-codes kunnen een aantal verschillende acties binnen een smartphone activeren.
- Lancering van een website. Als het kwaadaardig is, kan het een site voor het verzamelen van inloggegevens zijn, of het kan uw smartphone infecteren met een Trojaans paard. De malware maakt vervolgens verbinding met de servers van de bedreigingsactoren. Gegevens kunnen van uw smartphone naar de servers worden overgebracht of andere malware kan naar uw smartphone worden gedownload.
- Voeg een kwaadaardig item toe aan uw contacten. Een speciaal vervaardigde contactitem met kwaadaardige informatie kan misbruiken op uw smartphone veroorzaken.
- Voeg toe en verbind u met een Wi-Fi-netwerk,dat een kwaadaardig of gecompromitteerd netwerk kan zijn.
- Voer een betaling uit. Vaak onder het voorwendsel dat het een manier is om te doneren aan een liefdadigheidsinstelling, kunnen kwaadaardige QR-codes betalingen aannemen en de bedreigingsactoren in staat stellen uw persoonlijke en accountgegevens.
- Breng een spraakoproep. Als die oproep aan de dreigingsacteurs is, hebben ze nu uw nummer en beller-ID-informatie. Ze kunnen proberen om andere informatie uit je sociaal te manipuleren.
- Maak een sms-bericht. De QR-code kan een sms-bericht maken dat is geadresseerd aan de dreigingsactoren (of aan wie ze maar willen). Hierdoor sta je open voor op tekst gebaseerde phishing-aanvallen, ook wel smishing-aanvallen genoemd.
- Stel een e-mail op met vooraf ingevulde ontvangers en onderwerpen,zodat u openstaat voor phishing-aanvallen per e-mail.
- Meld u aan om sociale-media-accounts te volgen. Berichten op de sociale-media-account zullen links bevatten waarop slachtoffers zullen tikken en malware naar hun handset downloaden.
QR-codes kunnen ook items in uw agenda maken of uw locatie verkrijgen via de GPS van uw smartphone, maar deze zullen minder snel tot een compromis leiden.
Eerst nadenken, later scannen
Bij QR-codes is context van het grootste belang. Waar is de code? Wie is de eigenaar of aanbieder van de code? Als het op een zelfgemaakte flyer staat die aan een telegraafpaal is geniet, kun je niet instaan voor de waarheid ervan. Je hebt geen herkomst voor die code. Als de QR op een professioneel gedrukte poster in de receptie van een dokterspraktijk of een ziekenhuis staat, kunt u er meer op vertrouwen dat de code echt is.
Maar controleer desondanks of er geen andere QR-code op een papieren label is afgedrukt en over de echte code is geplakt. U kunt niet zien of de QR-code goedaardig of kwaadaardig is, maar u kunt wel zoeken naar tekenen van manipulatie of wijziging. Als het eruitziet alsof er mee is geknoeid, scan het dan niet.
Ga door de instellingen in uw app voor het scannen van QR-codes en stel deze in om webadressen weer te geven voordat u de website start of in feite een andere actie uitvoert. Het is jammer dat u een menselijke beoordeling moet introduceren bij het gebruik van QR-codes, die zijn ontworpen voor een "scan and done" pijnloze workflow, maar het bestrijden van cybercriminaliteit vereist constante toewijding.
