Kamera / QR-Code
Über manipulierte QR-Codes (Quishing) können Nutzer auf Phishing-Seiten, Malware-Downloads oder gefälschte Login-/Payment-Flows geleitet werden. Da der tatsächliche Ziel-Link vor dem Scannen oft nicht klar erkennbar ist, entsteht ein erhöhter Social-Engineering-Hebel.
MITRE ATT&CK
T1203 – Exploitation for Client Execution (T1203)
Matrix: Mobile
Taktik: Execution (TA0002)
Technik: Exploitation for Client Execution
Details:
Beim Vektor „Kamera / QR-Code“ wird die Smartphone-Kamera als Einstieg in einen Link-basierten Angriff genutzt. Angreifer platzieren manipulierte QR-Codes auf Plakaten, Parkautomaten, Speisekarten, E-Mails oder Webseiten. Nach dem Scan führt der Code auf täuschend echte Zielseiten, die Anmeldedaten, Zahlungsdaten oder 2FA-Informationen abgreifen.
Das Risiko steigt, wenn Nutzer den entschlüsselten Ziel-Link nicht prüfen, URL-Shortener eingesetzt werden oder Betriebssystem-/App-Dialoge ohne Kontext bestätigt werden. Technisch ist der Angriff simpel, operativ aber sehr wirksam durch Vertrauen in „physisch wirkende“ Codes.
Quellen/Links:
- [1] FBI/IC3 Public Service Announcement zu bösartigen QR-Codes (Quishing)
- [2] ISO/IEC 18004 – QR Code bar code symbology specification
- [3] RFC 3986 – URI Generic Syntax (Basis für URL-Prüfung/Validierung)
Erkennung:
- Häufung von Login-/Zahlungsbetrug nach QR-basierten Kampagnen
- Auffällige Weiterleitungsketten und frisch registrierte Domains nach QR-Scans
- Meldungen über überklebte/ersetzte QR-Aufkleber an öffentlichen Stellen
- Ungewöhnliche Benutzerpfade: direkter Scan → Browser → Credential- oder Payment-Eingabe
Quellen/Links:
- [1] IC3/FBI: typische Quishing-Vorgehensweisen und Betrugsmuster
- [2] RFC 3986: technische Grundlage zur Erkennung verdächtiger URI-Strukturen
Gegenmaßnahmen:
Empfohlen sind organisatorische und technische Schutzmaßnahmen: klare Nutzerhinweise zur URL-Prüfung vor dem Öffnen, Domain-Allowlisting in Unternehmensumgebungen, sichere Deep-Link- und Browser-Policies, sowie Monitoring auf Phishing-Domains mit markennahen Schreibweisen. In kritischen Prozessen sollten QR-Workflows zusätzlich über zweite Kanäle verifiziert werden (z. B. bekannte App statt Web-Link).
Quellen/Links:
- [1] OWASP MSTG – mobile Sicherheitsprüfung inkl. Link-/Phishing-Risiken
- [2] OWASP Mobile Top 10 – Privacy/Communication-Risiken im App-Kontext
