近日越來越多個案是從電郵收到從大公司(例如Microsoft或Office 365)發出，內附有QR code附件的電郵，內容是要求收件者掃瞄QR code以保留帳號，背後其實又是另一種網絡釣魚的手法。
採取行動掃瞄QR code或失去帳號
最典型的釣魚電郵通知是你的帳號密碼快將到期，如果不行動便會失去郵箱，因此要求收件者依照指示，掃瞄QR code然後更改密碼。另一種電郵則是警告收件者他們的檢證器有效期將在今日到期，如果不盡快用智能電話掃瞄QR code並重新援權密碼保案，將會失去電子郵箱。最後一種是電郵上標上可信任來源(其實這才最值得可疑)，聲稱由於欠缺某些驗證，有3封重要電郵未能送抵，需要掃瞄QR code修復。
很明顯，以上3種電郵的目的都是希望收件者掃瞄QR code，然後依照指示輸入密碼，針對不熟識電郵的用戶，令他們以為如果不依照指示行動，便會失去電子郵箱。
掃瞄QR code的後果
QR code會把收件者帶到偽裝的Microsoft登入網頁，而輸入的所有登入憑證都會落入網絡犯罪份子手上，結果是導致受害者失去電子郵箱。而且有部份QR code會導向IPFS (InterPlanetary File System)資源，用作分享檔案的通訊協定，容許用戶在互聯網發佈任何檔案而不需登記域名、托管或其他步驟。這意味著釣魚網頁就在釣魚者的電腦，並透過特定IPFS gateway就能夠存取，如此一來攻擊者更容易發佈而且比一般惡意網站更難攔截。
防範QR code網絡釣魚
沒有正常的驗證系統會建議掃瞄QR code作為唯一的選項，因此如果接到電郵要求你掃瞄QR code以確定某些事項、登入你的帳號、重設密碼或進行類似的行動，便很有機會是網絡釣魚，不妨安裝具備安全掃瞄QR code功能的掃瞄器工具，如果有可疑便會發出警告，為用戶提供多一重保障。
資料來源：Kaspersky Blog
