Kod QR na instrukcji magazynu prosi o logowanie. Co sprawdzić przed wpisaniem hasła?

Pracownik skanuje kod na kartce przy stanowisku. Zamiast instrukcji widzi formularz logowania i prośbę o pilne potwierdzenie konta. Kartka wisi w znajomym miejscu, więc wszystko wydaje się częścią codziennej pracy. Zanim ktokolwiek poda hasło, trzeba sprawdzić, dokąd naprawdę prowadzi kod i czy ta droga została przez firmę uzgodniona.

Kod nie jest potwierdzeniem pochodzenia strony

Ministerstwo Cyfryzacji opisuje oszustwa z użyciem QR jako quishing. Spreparowany kod może skierować do fałszywej strony. Szczególnej ostrożności wymagają żądania instalowania plików i aplikacji, podania danych logowania lub wykonania płatności. Nie oznacza to, że każda etykieta jest zagrożeniem.

CERT Polska wyjaśnia, że QR jest jednym z kanałów phishingu. Wygląd strony i skopiowane logo nie potwierdzają jej tożsamości. Weryfikacji wymaga domena, czyli nazwa witryny widoczna w pasku adresu. Trzeba obejrzeć ją przed przekazaniem danych, również gdy strona wygląda jak znany panel.

Najpierw ustal, co miał robić ten konkretny kod

W magazynie odczyt kodu może służyć wskazaniu towaru lub miejsca, a kod na instrukcji może zawierać adres strony. Nie warto uczyć zespołu jednego odruchu „zeskanuj i zatwierdź wszystko, co się pojawi”. Dla własnych oznaczeń ustal oczekiwany rezultat: numer w aplikacji, otwarcie konkretnego dokumentu czy przejście do znanej witryny.

Jeśli skan miał tylko wskazać lokalizację, a telefon otwiera stronę proszącą o dane, zatrzymaj tę czynność. Jeśli instrukcja ma wymagać logowania, pracownik powinien wcześniej wiedzieć, w jakim serwisie się ona znajduje. Samo pojawienie się formularza po skanie nie jest potwierdzeniem poprawności procesu.

Wróć do instrukcji znaną drogą

Zamknij nieoczekiwaną stronę i otwórz firmowe materiały przez wcześniej sprawdzoną zakładkę lub uzgodniony punkt dostępu. Poproś osobę odpowiedzialną za instrukcję o porównanie kartki z zatwierdzonym wzorem. Nie korzystaj do potwierdzenia z telefonu lub kontaktu podanego wyłącznie na podejrzanej stronie.

Sprawdź także, czy oznaczenie nie zostało fizycznie podmienione: czy jest dodatkowa naklejka, inny wydruk albo rozbieżność z kopią instrukcji. To propozycja kontroli własnych materiałów, nie dowód, że każda zmiana wyglądu oznacza atak. Zwykła aktualizacja też wymaga wyjaśnienia, jeśli nikt nie umie potwierdzić jej pochodzenia.

DEMO: ćwiczenie bez fałszywej strony i bez zbierania haseł

Przygotuj dwa demonstracyjne opisy sytuacji: skan otwiera zatwierdzoną instrukcję oraz skan nieoczekiwanie prosi o instalację aplikacji. Zapytaj zespół, gdzie sprawdzi oczekiwany adres i do kogo wewnątrz firmy zgłosi rozbieżność. Nie twórz atrap logowania ani nie zapisuj prawdziwych haseł na potrzeby szkolenia.

Jeśli ktoś zdążył ujawnić dane, dobierz reakcję do tego, co zrobił. CERT zaleca zmianę ujawnionego hasła i zakończenie aktywnych sesji; przy przekazaniu danych bankowych lub karty należy pilnie skontaktować się z bankiem. Powiadom też osobę zarządzającą firmowym kontem, aby zabezpieczyła dostęp. Podejrzaną stronę można zgłosić przez formularz CERT Polska.

Przy odbiorze instrukcji po wdrożeniu zapisz więc nie tylko miejsce przechowywania pliku, ale też zatwierdzoną drogę jego otwierania. Pracownik ma wtedy konkretny punkt odniesienia, kiedy kolejny skan pokaże coś nieoczekiwanego.

Źródła

• Ministerstwo Cyfryzacji — Oszustwa z wykorzystaniem QR kodów
• CERT Polska — Phishing: jak rozpoznać oszustwo i nie dać się nabrać

Powiązane materiały