Kasperskyが取り上げた最新の調査によると、サイバー犯罪者たちは画像ベースのフィッシング攻撃を検出するために設計されたメールセキュリティツールを回避するため、テキストで描画したQRコードを使う手口を増やしています。
「クイッシング(quishing)」とも呼ばれるQRフィッシングは、メール内に表示されたコードをユーザーにスキャンさせることで攻撃を仕掛ける手法です。
スキャンを行うと通常、スマートフォン上でフィッシングページが開き、被害者は企業ブラウザやエンドポイント監視ツールなど、デスクトップ環境の保護機能から切り離されてしまいます。QRコードはスキャンされるまで移動先のURLを隠せる点も厄介です。
従来のクイッシング攻撃では、QRコードを添付画像や埋め込み画像として使うのが一般的でした。セキュアメールゲートウェイ(SEG)はこうした画像を検査し、QRコードをデコードしてURLを抽出したうえで、脅威インテリジェンスのフィード、レピュテーションサービス、リダイレクト、既知のフィッシングドメインと照合することができます。
メールクライアントもデフォルトでリモート画像をブロックする場合があり、これによって一部のQRコードはそもそも表示されないこともあります。
攻撃者はQRコードを画像として挿入する代わりに、HTMLマークアップや色付きのテーブルセル、あるいはテキスト文字を使ってメール内に直接QRコードを構築することができます。
画像添付や埋め込みビットマップ、<img>タグが一切存在しなくても、メールクライアントは白黒のグリッドを完全にスキャン可能なQRコードとしてレンダリングしてしまいます。
これが検出の抜け穴を生み出します。画像に着目したスキャナーやOCRシステムは、一般的にまず画像オブジェクトを探すところから処理を始めます。
メールがHTMLテーブルやレイアウト要素、あるいはUnicodeのブロック文字だけで構成されている場合、ゲートウェイが抽出・デコードできる画像自体が存在しない可能性があります。
この手法は、リモート画像が無効化されている場合にも通用します。通常のリモートQR画像は、受信者が「画像を表示」をクリックするまで表示されないことがあります。しかしHTML要素で構築されたQRコードはメール本文そのものの一部であるため、即座にレンダリングされてしまいます。
研究者たちは、実際のメールレンダリング環境ではこの手法にも課題があると指摘しています。等幅のUnicodeブロック文字で構築されたQRコードは、フォントサイズや文字間隔、行の高さを変更するモバイルメールアプリによって歪んでしまうことがあります。
その点、HTMLテーブルはテーブルセルの寸法がGmail、Outlookをはじめとする各種メールクライアントで広くサポートされているため、より信頼性が高い手法だと言えます。
とはいえ、大きなHTMLQRコードはメッセージサイズを肥大化させてしまう可能性があります。Gmailはおよそ102KBを超えるメールを切り詰めることがあり、これによってQRのグリッドがレンダリングの途中で崩れてしまう恐れがあります。
同じ色のセルをcolspanでまとめるなど、圧縮したHTMLテーブルを使用すれば、メッセージサイズを大幅に削減し、配信の信頼性を高めることができます。
防御側にとっての重要な教訓は、「画像がない」からといって「QRコードがない」とは限らないという点です。画像添付や埋め込みグラフィック、リモート画像コンテンツのみをスキャンするセキュリティツールでは、マークアップによってレンダリングされるQRコードを見逃してしまう可能性がある、とphishuは指摘しています。
ユーザーは、心当たりのないメールに含まれるQRコードのスキャンを避けるべきです。Microsoft、銀行、人事部門、クラウドサービスなどを名乗るメッセージであっても、コードをスキャンするのではなく、既知のURLや承認済みのアプリケーションから直接該当サービスを開くようにしてください。
ANY.RUNのブラウザ内データ検査で検知・調査・対応を高速化-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/text-based-qr-phishing-bypasses/
