Quishing(二维码钓鱼).

用二维码代替可点击链接,引导受害者前往凭据窃取或恶意软件页面的钓鱼手法。 它属于网络安全的 攻击与威胁 分类。

用二维码代替可点击链接,引导受害者前往凭据窃取或恶意软件页面的钓鱼手法。

Quishing(QR phishing)将恶意二维码放置在电子邮件、PDF、海报、停车牌或餐厅传单中。受害者用手机相机扫码后,设备会打开攻击者控制的 URL,绕过企业邮件网关与端点浏览器的管控。由于二维码以图像形式存在,传统 URL 过滤和 DMARC 检查通常无法识别,且个人手机经常缺乏管控。2023 年起,quishing 显著增加,攻击者借此绕过 Microsoft 365 中的 safe-link 重写,并附上伪造的 "MFA 注册" PDF。常见防御措施包括识别二维码的邮件过滤、含 Web 防护的移动 MDM、安全意识培训,以及在输入凭据前核验每个 QR 的 URL。

针对 Quishing(二维码钓鱼) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: QR 钓鱼, QRishing。