Malwarebytes（マルウェアバイト）の報告書によると、スイスの国家サイバーセキュリティセンター「NCSC」が、スイス国民を標的に悪意のあるQRコードを印刷した手紙を送りつけるQRコードフィッシング（クイッシング）キャンペーンについて警告したことが明らかになりました。
スイスの国家サイバーセキュリティセンター「NCSC」は次のように述べています。
「郵便で送りつけられる手紙に記載されているQRコードを読み取ると、『Coper』（別名『Octo2』）マルウェアがダウンロードされる仕組みになっています。偽の『異常気象警報アプリ』アプリをインストールすると、このマルウェアがオンラインバンキングアプリを含む383以上のスマートフォンアプリから、アクセスデータなどの機密情報を盗み出そうとします。
このマルウェアは、Androidオペレーティングシステムを搭載したスマートフォンにのみ感染します。マルウェアがダウンロードされるとすぐに、『AlertSwiss（スイス警報）』アプリとしてスマートフォンに表示されます。」
Malwarebytesは、物理的な手紙でコードを郵送することで、攻撃者が技術的なセキュリティ対策を回避していると指摘しています。
Malwarebytesのリサーチャーは次のように述べています。
「手紙にQRコードを印刷して郵送することには、攻撃者にとっていくつかのメリットがあります。ユーザーは、物理的な手紙という非技術的な手法によって、デバイスが感染してしまうとは思っていないかもしれません。また、通常QRコードはモバイルデバイスで読み取られますが、残念ながら、モバイルデバイスへのセキュリティソフトウェアのインストールはまだ見過ごされがちです。」
Malwarebytesは、パソコンでリンクをクリックするのと同様に、QRコードの読み取りも慎重に行うべきだと結論づけています。
Malwarebytesのリサーチャーは次のように述べています。「QRコードを読み取る場合、QRコードに含まれるURLページに移動する前に完全なURLを表示し、ユーザーに確認を促すアプリを使用してください。信頼できないURLであれば、リンクを開かず、信頼できる別の方法で必要な情報を入手してください。
最新のAndroid端末（バージョン8以上）には、カメラにネイティブのQRコードの読み取り機能が組み込まれていますが、QRコード読み取りアプリの中にはWebサイトへのアクセスやファイルのダウンロードを自動で実行するものあります。セキュリティ上の観点から、これらの機能はオフにすることをお勧めします。」
KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の7万社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティカルチャーの形成につなげています。
詳細については、Malwarebytesの記事を参照してください。
原典：Stu Sjouwerman著 2024年11月20日発信 https://blog.knowbe4.com/threat-actors-are-sending-malicious-qr-codes-via-snail-mail