QRコード悪用のフィッシング攻撃、多数の米エネルギー企業が標的に

[ITmedia]

　米セキュリティ企業Cofenseは8月16日（現地時間）、主に米エネルギー大手企業を標的とする、QRコードを使った大規模なフィッシングキャンペーンを観測したと発表した。米Microsoftの資格情報を狙ったもので、5月ごろに始まったという。5月以降、キャンペーンは2400％以上増加したとしている。

　Cofenseは「大手エネルギー企業」の具体名は明かしていないが、1000件以上のフィッシングメールの29％がエネルギー企業宛という。その他、製造業、保険業、IT、金融サービスも標的となっている。同社は、QRコードによるこの規模の攻撃は初めてであり、攻撃手段としての有効性をテストしている可能性があるとみている。

　大まかな手口は、Microsoft 365アカウントの設定を更新する必要があるとするフィッシングメールに、スキャンするとアカウントを確認できるというQRコードの画像またはPDFファイルを添付するというもの。メールはアカウントを2、3日以内に確認しないと無効になってしまうという文言入りだ。

メールに添付されたQRコード例（画像：Cofense）

　「QRコードの操作方法には制限があるため、（フィッシングのための）一般的な選択肢ではなかった。ただし、メールに直接埋め込むフィッシングリンクに比べて、添付ファイル内のQRコードであれば受信箱に到達する可能性が非常に高くなる」とCofenseは説明する。