網釣新招術：把惡意連結藏在QR Code中

專門防禦網路釣魚的資安業者Cofense近日指出，許多企業都會利用各種資安產品來掃描電子郵件中所嵌入的URL，企圖攔截惡意連結，然而，他們最近發現了新一波的網釣攻擊，是把惡意連結藏匿在QR Code中以躲避偵測，很可能是史上頭一遭濫用QR Code來夾帶惡意連結的網釣手法。

這波的網釣攻擊是採用一封假冒來自SharePoint的電子郵件，並邀請受害者掃描QR Code來開啟文件，當此一QR Code被解碼之後，它即暗藏一個網釣URL，大多數智慧型手機的QR Code掃描程式都會直接將使用者導向該網站，它是一個偽裝成SharePoint的網釣網站，要求使用者以AOL、微軟或其它服務的憑證輸入，以便開啟文件。

研究人員指出，駭客的心思縝密，除了以QR Code來躲避偵測之外，在郵件中夾帶了需要利用智慧型手機才能掃描的QR Code，更讓受害者脫離企業的安全控制，涵蓋各種電子郵件安全閘道、連結保護、沙箱或內容過濾器，而且此一網釣網站還針對了行動瀏覽進行了最佳化，方便受害者輸入憑證。

由於這封信件是自企業內部的郵件服務收到的，因此即使是利用自己的手機掃描QR Code，也會不疑有它。

Cofense認為，過去QR Code是受到技客青睞的先進技術，現在的相關應用則愈來愈普及，例如用來設定家中的網路裝置，或是交易加密貨幣等，而未來它是否會成為網釣攻擊的趨勢，仍有待時間來證明。