NCSC: Betrüger setzen vermehrt auf gefälschte QR-Codes

Ob für Website-Links oder Onlinezahlungen - QR-Codes sind inzwischen weit verbreitet. Kein Wunder also, dass auch Betrüger die pixeligen Mosaike für ihre Zwecke nutzen. Davor warnt das Nationale Zentrum für Cybersicherheit (NCSC) in seinem  Rückblick auf die dritte Kalenderwoche 2023.

Gefälschte Rechnungen im Postfach

Bei einer Variante, die auch als "Business-E-Mail Compromise" bezeichnet wird, versenden Betrüger gefälschte Rechnungen. Dafür durchforsten sie zuerst gehackte E-Mail-Konten ihrer Opfer nach echten Rechnungsschreiben, um diese dann zu kopieren und manipulieren. Sie ändern etwa die IBAN-Nummer, auf die die Einzahlung erfolgen soll, und senden die Rechnung dem Empfänger oder der Empfängerin im Namen des ursprünglichen Senders erneut zu. Dann behaupten sie, das Empfängerkonto habe sich geändert, und der Empfänger solle erneut einzahlen, schreibt das NCSC. Nur dass der Betrag diesmal eben auf dem Konto der Betrüger landet. Neuerdings würden die Gauner auch den QR-Code auf der Rechnung entsprechend anpassen. Der Fake sei täuschend echt und der Betrug damit nur schwer erkennbar. 

Das NCSC rät Unternehmen, all ihre Mitarbeitenden, vor allem in Finanzabteilungen, über diese Angriffsweisen zu sensibilisieren. Des weiteren solle man keinen ungewöhnlichen Zahlungsaufforderungen nachkommen und Aufträge verifizieren lassen. Geschäftliche Prozesse sollten firmenintern klar geregelt sein und von allen Mitarbeitenden befolgt werden.

Scanner-Apps mit Abofalle

Das NCSC erhielt ausserdem Meldungen, die QR-Codes im physischen Postfach betrafen. Unternehmen hätten Briefe mit einem QR-Code versehen, um ihre Kunden bequem auf eine Feedback-Seite zu leiten, ohne den Link abzutippen. Nach dem Scan landeten die Kunden aber auf einer dubiosen Seite, die Kreditkartendaten fordert, wie es weiter heisst. Der Grund war zunächst unklar, der QR-Code stellte sich als korrekt heraus.

Somit fiel der Verdacht auf den QR-Scanner - alle betroffenen Personen hätten nämlich die gleiche Scanner-App benutzt. Eine Untersuchung durch das NCSC zeigte keine Unregelmässigkeiten in der App selbst. Die Anwendung zeigte jedoch beim Öffnen Werbung am unteren Bildrand an. Der darauf abgebildete knallgrüne "Start"-Button sei wohl auffälliger gewesen als die eigentliche Schaltfläche zum Start des Scans in der App. Die User hätten im Stress just auf den falschen Button geklickt und seien deshalb auf der Betrugswebsite gelandet.

Die Kantonspolizei Zürich warnte bereits Ende 2022 vor kostenlosen beziehungsweise werbefinanzierten QR-Scanner-Apps. Das NSC empfiehlt, wie schon die Kapo Zürich, für das Scannen von QR-Codes eine zuverlässige App zu verwenden, die eine Bestätigung durch die User fordert, bevor der Code ausgeführt wird. Sowohl bei Apple als auch bei Android scannt auch die Smartphonekamera QR-Codes ohne Probleme, eine eigene App dafür ist damit überflüssig.

Das NCSC rät ausserdem, nie Anmeldeinofrmationen auf Websites einzugeben, auf die ein QR-Code geleitet hat. Vor einem Scan sei es zudem ratsam, den QR-Code zu berühren und zu prüfen, ob es sich um einen Aufkleber handelt, der über dem Original klebt. 

Welche Gefahren sonst noch hinter QR-Codes lauern und wie Sie sich davor schützen können, erfahren Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.