Quishing: Falsche QR-Codes auf Bankbriefen und Strafzetteln
Phishing mit QR-Codes, auch bekannt als Quishing, erfreut sich unter Kriminellen zunehmender Beliebtheit. Die betrügerischen Codes kommen aber häufig nicht über digitale Kommunikationswege, wie bei regulären Phishing-Angriffen üblich, sondern per Briefpost, an Ladesäulen für E-Autos sowie auf gefälschten Strafzetteln für Falschparker.
Die Verbraucherzentrale hat am Dienstag eine Mitteilung herausgegeben(öffnet im neuen Fenster) , in der unter anderem vor aktuellen Quishing-Versuchen im Namen der Commerzbank gewarnt wird. Ein entsprechendes Schreiben, das in der Mitteilung zu sehen ist, wurde demnach von einer Frau eingereicht, die selber gar keine Kundin der Commerzbank ist.
In dem Brief wird behauptet, die Bank müsse aufgrund von Betrugsfällen das PhotoTAN-Verfahren regelmäßig erneuern. Empfänger des Schreibens werden in diesem Zuge dazu aufgefordert, das Verfahren zur Sicherheit ihrer Bankgeschäfte zu aktualisieren. Dafür wird auf einen QR-Code verwiesen, über den sich das PhotoTAN-Verfahren reaktivieren lassen soll. Der Code führt jedoch zu einer Phishing-Seite.
Auch Landeskriminalämter warnen
Das LKA Niedersachsen hatte schon Anfang August vor entsprechenden Quishing-Angriffen im Namen zweier großer deutscher Banken gewarnt. Am Montag hat auch das LKA NRW eine solche Warnung herausgegeben(öffnet im neuen Fenster) , laut der Angreifer in mehreren Bundesländern versuchen, anhand betrügerischer QR-Codes persönliche Daten und Passwörter auszuspähen.
"Je nach Gerät und Browser ist hierbei auf den ersten Blick nicht zu erkennen, dass der Link nicht zu der tatsächlichen Website des Anbieters führt, sondern zu einer Fake-Seite. Dort geben die Opfer dann ihre Zugangsdaten ein oder veranlassen einen Geldtransfer" , schreibt das LKA NRW.
Die Verbraucherzentrale warnt zudem vor falschen Strafzetteln für Falschparker, die ebenfalls mit einem betrügerischen QR-Code bedruckt sein können. In einigen Städten ist es demnach üblich, dass das Ordnungsamt bei Parkverstößen QR-Codes hinterlässt, über die Betroffene direkt bezahlen können. Unter anderem aus Berlin gibt es laut der Verbraucherzentrale aber Berichte über Fälschungen, mit denen Kriminelle versuchen, vermeintliche Parksünder auf eine Phishing-Seite zu locken.
Wie sich Anwender vor Quishing schützen können
Zum Schutz vor Quishing-Angriffen wird Anwendern empfohlen, Links aus QR-Codes nur dann zu öffnen, wenn sie sich sicher sind, dass die Quelle seriös ist. Oftmals lässt sich ein Phishing-Versuch schon an der URL der Zielwebseite erkennen. Viele QR-Code-Scanner bieten die Möglichkeit, die im Code hinterlegte URL einzusehen, bevor sie im Webbrowser aufgerufen wird.
Besteht der Verdacht, dass es sich um einen Betrugsversuch handeln könnte, so sollte zunächst über offizielle Kommunikationskanäle Kontakt zum angeblichen Absender aufgenommen werden, um sich die Echtheit des jeweiligen QR-Codes beispielsweise von der Bank oder dem Ordnungsamt bestätigen zu lassen.
Wer bereits auf einen Quishing-Versuch reagiert und sensible Daten übermittelt hat, sollte sich umgehend an die Polizei wenden. Je nach Art der preisgegebenen Daten kann es zudem sinnvoll sein, die eigene Bank zu kontaktieren und das Bankkonto sperren zu lassen.