Злоумышленники могут получить доступ к аккаунтам через QR-коды без кражи паролей
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- КИИ в облаке
- 10 лет российского бэкапа
- SDN: Сеть как дом
- История облаков
- 30 лет ERP России
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- ИТ-бизнес
- Рейтинги
|
В «Гарде» предупредили о риске захвата аккаунтов через QR-коды, используемые для входа в цифровые сервисы. В ходе аудита безопасности веб-приложений специалисты компании неоднократно обнаруживали ошибки в механизмах QR-авторизации, позволяющие злоумышленникам получать доступ к чужим аккаунтам без кражи паролей. Для этого достаточно обманом заставить пользователя подтвердить вход через официальное мобильное приложение. Об этом CNews сообщили представители «Гарды».
Как объяснили в компании, авторизация через QR-коды широко используется в банках, маркетплейсах, мессенджерах и других цифровых сервисах. Обычно пользователь сканирует код с экрана компьютера смартфоном, на котором уже выполнен вход в приложение, и подтверждает авторизацию. Однако при определенных ошибках этот механизм может использоваться злоумышленниками.
Атакующий открывает страницу входа в сервис на своем устройстве и получает QR-код для авторизации. Затем извлекает из него специальную ссылку (диплинк) и отправляет ее потенциальной жертве через мессенджер или почту.
Когда пользователь переходит по этой ссылке, на его устройстве автоматически открывается официальное приложение с запросом на вход. Пользователь нажимает на кнопку подтверждения и злоумышленник получает доступ к аккаунту и всем данным.
Low/no-code-революция: новая архитектура цифровой независимости Конференция
«Главная опасность этой схемы – риск кражи личных данных и денег через аккаунт пользователя в банках и маркетплейсах. При этом атака происходит через легитимный сервис, а распознать такое мошенничество сложно, так как в запросе на подтверждение входа не всегда указано, с какого устройства и из какого местоположения выполняется вход», — сказал Егор Боровинских, старший аналитик безопасности веб-приложений компании «Гарда».
По словам эксперта, снизить риск можно, ограничив способы запуска QR-авторизации. Лучше использовать только встроенный сканер, исключая возможность ручного открытия таких ссылок. Боровинских также рекомендует пользователям не подтверждать незнакомые запросы на авторизацию, даже если они поступают через официальное приложение.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.