พาโล อัลโต เน็ตเวิร์กส์ (Palo Alto Networks) ผ่านทีมวิจัย Unit 42 ได้เผยแพร่รายงานเตือนภัยเกี่ยวกับรูปแบบการโจมตีทางไซเบอร์ที่กำลังได้รับความนิยมอย่างรวดเร็ว นั่นคือการโจมตีผ่าน QR Code หรือที่เรียกว่า Quishing (QR Code Phishing) ซึ่งเปลี่ยน QR Code จากเครื่องมือที่ให้ความสะดวกสบายในชีวิตประจำวัน กลายเป็นช่องทางใหม่ที่แฮกเกอร์ใช้หลอกลวงเหยื่อและขโมยข้อมูลสำคัญ
รายงานจาก Unit 42 ระบุว่าการโจมตีแบบ Quishing มีอัตราการเติบโตสูงถึง 51% เมื่อเทียบกับปีที่ผ่านมา โดยอาชญากรไซเบอร์ได้นำ QR Code มาฝัง URL ที่เป็นอันตรายไว้ภายใน เมื่อเหยื่อสแกนด้วยสมาร์ทโฟน ระบบจะนำพาไปยังเว็บไซต์ปลอมที่ออกแบบมาเพื่อขโมยข้อมูลส่วนตัว รหัสผ่าน หรือข้อมูลทางการเงิน ซึ่งแตกต่างจากการฟิชชิงแบบดั้งเดิมที่ใช้ลิงก์ในอีเมล เนื่องจาก QR Code ไม่สามารถมองเห็นเนื้อหาภายในได้ด้วยตาเปล่า จึงหลีกเลี่ยงระบบตรวจสอบความปลอดภัยได้ง่ายกว่า
นักวิจัยพบว่าแฮกเกอร์ได้พัฒนาเทคนิคใหม่ที่ซับซ้อนมากขึ้น เช่น การซ่อน URL ปลายทางด้วยกลไกการเปลี่ยนเส้นทาง (redirection) ของเว็บไซต์ที่ถูกกฎหมาย ทำให้ตรวจจับได้ยากยิ่งขึ้น นอกจากนี้ยังมีการใช้ Cloudflare Turnstile เพื่อตรวจสอบผู้ใช้งาน ซึ่งช่วยหลีกเลี่ยงเครื่องมือสแกนความปลอดภัยอัตโนมัติ และนำเหยื่อไปยังหน้าล็อกอินปลอมที่ดูสมจริง ที่น่าเป็นห่วงคือมีหลักฐานว่าเว็บไซต์ฟิชชิงเหล่านี้ถูกออกแบบมาเพื่อโจมตีเป้าหมายเฉพาะบุคคล แสดงให้เห็นว่าการโจมตีแบบนี้กำลังพัฒนาไปสู่รูปแบบที่เจาะจงและอันตรายมากขึ้น
จุดอ่อนสำคัญของการโจมตีประเภทนี้คือการใช้ช่องว่างในระบบรักษาความปลอดภัยขององค์กร เมื่อพนักงานใช้อุปกรณ์ส่วนตัวในการสแกน QR Code จากคอมพิวเตอร์ที่ทำงาน ซึ่งอุปกรณ์ส่วนตัวมักไม่มีระบบรักษาความปลอดภัยที่เข้มแข็งเท่าอุปกรณ์ของบริษัท ผู้โจมตีจึงสามารถแทรกซึมเข้าสู่ระบบได้ง่าย โดยเฉพาะอย่างยิ่งในยุคที่ QR Code กลายเป็นส่วนหนึ่งของชีวิตประจำวัน ไม่ว่าจะเป็นการชำระเงิน เมนูอาหาร หรือการเข้าถึงบริการต่างๆ ความไว้วางใจต่อเทคโนโลยีนี้กลับกลายเป็นช่องโหว่ที่อาชญากรไซเบอร์เข้ามาใช้ประโยชน์
Palo Alto Networks แนะนำให้ผู้ใช้งานและองค์กรระมัดระวังมากขึ้นเมื่อพบ QR Code โดยควรตรวจสอบแหล่งที่มาให้แน่ใจก่อนสแกน หลีกเลี่ยงการสแกน QR Code จากแหล่งที่ไม่น่าเชื่อถือหรือได้รับทางอีเมลจากผู้ส่งที่ไม่คุ้นเคย และควรใช้แอปพลิเคชันที่สามารถแสดง URL ปลายทางก่อนเปิดเว็บไซต์ รวมถึงองค์กรควรมีนโยบายรักษาความปลอดภัยที่ครอบคลุมทั้งอุปกรณ์ทำงานและอุปกรณ์ส่วนตัว พร้อมทั้งจัดอบรมให้ความรู้พนักงานเกี่ยวกับภัยคุกคามรูปแบบใหม่นี้อย่างสม่ำเสมอ