QRコードにマルウェアが？「Qshing」の予防法

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

最近、Qshingによる詐欺被害が発生しており、スマートフォンユーザーの注意が必要である。

「Qshing」とは、QRコードとフィッシング(Fishing)の造語であり、1段階進化した金融詐欺手法である。

金融監督院によると、あるユーザーはスマートバンキングを利用して資金振替をしている際、追加認証が必要だというQRコードが添付されたメッセージが表示され、それに従いアプリをインストールし、セキュリティカードを認識させた。その瞬間、金融詐欺と判断されて中止になったが、通信会社に確認すると、ゲームマネー35万ウォンが小額決済されていた。 

このように攻撃者は、認証が必要だとAndroidベーススマートバンキングユーザーを騙し、QRコードを通じて悪性アプリのダウンロードを誘導する。ユーザーのスマートフォンに悪性アプリがインストールされると、これを利用して攻撃者はセキュリティカード、電話番号、SMSなどの情報を搾取し、SMSの受信を妨害する。

[図 1］は、Qshingの流れを表現したものである。 

[図 1] Qshingの流れ

<出所 : 金融監督院>

これまで、Androidユーザーを狙った大半のモバイルマルウェアは、スミッシングを通じて流布されていた。しかし、スミッシングによって流布される悪性アプリに関する情報がユーザーの間で知られ、マルウェア作成者は新しい流布方法が必要になった。それがQshingなのである。

[図 2] は、ユーザーがBanki類のマルウェアに感染しているPCで正常な銀行サイトのURLを入力して接続した際の画面である。しかし、マルウェアにより金融監督院に偽装したページが表示され、各銀行別にセキュリティ認証を要求される。

[図 2] 金融監督院を偽装したページ

ポップアップイメージを通じて偽銀行サイトに接続すると、実際の銀行サイトに非常に類似しているページが表示され、個人情報と金融情報の入力を要求される。

ユーザーが個人情報と金融情報を入力すると、「認証の申請が完了しました。」とメッセージが表示される。

その後、電子金融詐欺予防サービスページでQRコードを通じて悪性アプリのダウンロードを誘導する。

 [図 3] QRコードを悪用した悪性アプリのダウンロード誘導ページ

[図 3]のQRコードをスキャンすると、http://www.sjdknn.com/appmgr.apk に接続され、悪性アプリがダウンロードされる。この悪性アプリは個人情報および個人情報を搾取し、ユーザーが金銭的被害を受ける恐れがある。

スマートフォンの普及の拡大により、金銭の搾取を目的とする悪性アプリは日々進化している。このような悪性アプリは、SMSに含まれたURLやQRコード、SNS(Social Networking Service)、非公式マーケットなどを通じて流布される。

ユーザーは、公式マーケット以外からアプリがダウンロードされないように、提供元不明のアプリのインストールを禁止しなければならない。また、公式マーケットにも悪性アプリがアップロードされる場合もあるため、アプリをダウンロードする前に評判情報を確認することを推奨する。

また、モバイル専用のセキュリティアプリやスミッシング検知アプリをインストールし、常に最新バージョンを維持しなければならない。デバイス管理者の権限を持っている悪性アプリがインストールされた場合は、スマートフォンをセーフモードで起動し、[設定] → [セキュリティ] → [デバイス管理者]メニューにてデバイス管理者権限を無効にすると、悪性アプリを削除することができる。