Quishing (Квишинг, QR-фишинг) - это техника фишинговой атаки, при которой злоумышленники прячут вредоносную ссылку внутри QR-кода. Термин образован слиянием английских слов quick response (быстрый отклик, от аббревиатуры QR) и phishing (фишинг). В отличие от классического фишинга, где жертва видит подозрительный URL или может навести на него курсор, QR-код выглядит как безобидный чёрно-белый квадрат. Человек не может прочитать зашифрованный адрес, не отсканировав код, поэтому квишинг эксплуатирует доверие к визуальному образу и привычку сканировать коды повсюду - в меню ресторанов, на платёжных терминалах, в письмах и на плакатах.
Как это работает
Механизм квишинга строится на простом, но эффективном трюке: ссылка, которая в обычном письме была бы отфильтрована почтовым шлюзом или вызвала бы подозрение у пользователя, кодируется в изображение. Почтовые фильтры, ориентированные на анализ текста и вложений, часто не распознают QR-код как угрозу, потому что видят лишь картинку. Когда жертва сканирует код, её браузер открывает страницу, контролируемую злоумышленником. Это может быть поддельная форма входа, имитирующая Microsoft 365, Okta или корпоративный VPN-портал, страница с предложением загрузить приложение или сайт, автоматически запускающий загрузку вредоносного файла.
Ключевая особенность квишинга заключается в смене устройства. Сотрудник получает письмо на защищённый корпоративный компьютер, но для сканирования кода использует личный мобильный телефон, который находится вне зоны действия корпоративных средств защиты, таких как EDR (Endpoint Detection and Response) или сетевые фильтры. Именно этот переход с управляемого устройства на неуправляемое делает квишинг особенно опасным. Атакующий получает доступ к среде, где защита значительно слабее, а бдительность пользователя ниже, потому что он находится вне рабочего контекста.
Примеры из реальной практики
В мае и июне 2025 года северокорейская группа Kimsuky (также известная как APT43) провела серию целевых квишинг-кампаний против аналитических центров, академических учреждений и государственных структур США и их союзников. Злоумышленники выдавали себя за иностранных советников и сотрудников посольств. В одном случае письмо якобы от «иностранного советника» содержало QR-код для доступа к «опроснику» о ситуации на Корейском полуострове. В другом - поддельный сотрудник посольства предлагал перейти по QR-коду на «защищённый диск» с документами. Ещё один сценарий имитировал приглашение на конференцию, которой не существовало: код вёл на страницу регистрации, собиравшую учётные данные Google-аккаунтов через поддельную форму входа.
После сканирования кода жертва попадала на домен, контролируемый атакующими, который собирал информацию об устройстве - операционную систему, IP-адрес - и затем перенаправлял на фальшивую страницу авторизации. Главной целью была кража session cookies (файлов сессии), которые затем использовались в атаках повторного воспроизведения (Replay Attacks). Это позволяло обходить многофакторную аутентификацию: злоумышленник не крал пароль и не пытался подобрать второй фактор, а просто «угонял» уже аутентифицированную сессию, не вызывая подозрений у систем безопасности.
Масштаб проблемы растёт стремительно. По данным «Лаборатории Касперского», во второй половине 2025 года количество фишинговых писем с вредоносными QR-кодами увеличилось более чем в пять раз: если в августе было зафиксировано около 46 969 таких сообщений, то в ноябре — уже 249 723. Злоумышленники всё чаще встраивают коды не в тело письма, а в PDF-вложения, которые выглядят как счета, уведомления от отдела кадров или подтверждения покупок. Такие документы маскируют ссылку и дополнительно подталкивают пользователя к сканированию на телефоне, где защита слабее.
Как противостоять
Защита от квишинга не требует полного отказа от QR-кодов, но требует изменения привычек. Первое правило - не сканировать коды из неожиданных сообщений. Если письмо с QR-кодом приходит без запроса, безопаснее открыть официальный сайт организации вручную, введя адрес в браузере, или воспользоваться официальным приложением. Второе правило — проверять источник: если код наклеен поверх другого кода на плакате или меню, это может быть признаком подмены. Третье - смотреть на URL перед переходом: современные смартфоны и приложения-сканеры часто показывают предварительный просмотр ссылки, и если домен выглядит подозрительно или не совпадает с ожидаемым, от сканирования лучше отказаться.
На уровне организации важны технические меры: почтовые шлюзы с анализом изображений и распознаванием QR-кодов, изоляция ссылок, а также обучение сотрудников, включающее симуляции квишинга. Исследования показывают, что программы обучения с практическими упражнениями снижают количество успешных атак. Поскольку квишинг часто завершается кражей сессионных токенов, многофакторная аутентификация, устойчивая к фишингу (passkeys или аппаратные ключи), снижает ценность украденных данных. Однако главным остаётся культура безопасности: привычка останавливаться, проверять и сообщать о подозрительных сообщениях, прежде чем сканировать код, который может оказаться входной дверью для атакующего.
