ה-FBI מזהיר מ-Quishing: Kimsuky הצפון-קוריאנית משתמשת בקודי QR כדי לגנוב התחברויות
ב-8 בינואר 2026 פרסם ה-FBI התראת FLASH: Kimsuky שולחת מיילים עם קוד QR זדוני שמעביר את הקורבן לטלפון, לדף התחברות מזויף ולגניבת אסימון שעוקף MFA.
TL;DR בקצרה
- ה-FBI פרסם ב-8 בינואר 2026 התראת FLASH על Quishing, פישינג דרך קודי QR, של קבוצת Kimsuky הצפון-קוריאנית.
- קוד ה-QR מעביר את הקורבן לטלפון, מחוץ להגנות הדואר, לדף התחברות מזויף של Microsoft 365, Okta או VPN.
- השיטה מסתיימת בגניבת אסימון התחברות, שעוקף אימות דו-שלבי. ה-FBI מתעד ארבעה מקרים ממאי ויוני 2025.
- ההמלצות: לא לסרוק קודי QR לא צפויים, לאמת מקור בערוץ אחר ולהפעיל אימות עמיד לפישינג.
ב-8 בינואר 2026 פרסם ה-FBI התראת FLASH על Quishing, פישינג דרך קודי QR. הטכניקה משמשת את קבוצת ההאקרים הצפון-קוריאנית Kimsuky. לפי ההתראה, הקבוצה מפיצה מ-2025 מיילים עם קוד QR זדוני לארגוני מחקר, לאקדמיה ולגופי ממשל. הקוד מוביל את הקורבן מהמחשב אל הטלפון, רחוק מהגנות הדואר של הארגון.
ההתראה מכוונת לארגוני מחקר ולמומחי מדיניות שקשורים לצפון קוריאה. עם זאת הטכניקה עצמה פשוטה, ואינה תלויה בקורבן. לכן היא רלוונטית לכל מי שמקבל קוד QR במייל.
Quishing: איך קוד QR עוקף את הגנות הדואר
ה-FBI מגדיר Quishing כטכניקה שמחביאה כתובת זדונית בתוך קוד QR. הקורבן סורק אותו בטלפון, והפעילות יוצאת מהמחשב הארגוני אל מכשיר אחר. התוקפים מצרפים את הקוד כתמונה, או משבצים אותו בגוף המייל. כך מערכות הדואר לא בודקות את הכתובת, לא משכתבות אותה ולא מריצות אותה בארגז חול.
אחרי הסריקה הקורבן מגיע לשרתי ביניים של התוקף. הם אוספים מידע על המכשיר, כמו מערכת הפעלה, כתובת IP, שפה וגודל מסך. בעזרתו הם מציגים דף התחברות מותאם לנייד, שמתחזה ל-Microsoft 365, ל-Okta או לשער VPN.
הסוף הוא גניבת אסימון התחברות והפעלה חוזרת שלו. כך התוקף עוקף אימות דו-שלבי ונכנס לזהות הענן בלי התראת "MFA נכשל". אחר כך הוא משאיר דריסת רגל, ושולח פישינג נוסף מהתיבה שהשתלט עליה. לפי ה-FBI, זו שיטת חדירה אמינה, שעמידה בפני MFA.
ארבעה מקרים של Quishing מ-2025
ה-FBI מתאר מקרים מאמצע 2025. במאי התחזו פעילי Kimsuky ליועץ זר. הם ביקשו ממנהל מכון מחקר תובנות על חצי האי הקוריאני. במייל היה קוד QR לשאלון.
בהמשך החודש התחזתה הקבוצה לעובד שגרירות. היא ביקשה מחוקר בכיר מידע על זכויות אדם בצפון קוריאה, וצירפה קוד QR ל"כונן מאובטח". במקרה שלישי בחודש התחזתה הקבוצה לעובד מכון מחקר, והקוד הוביל לתשתית שלה.
ביוני שלחה Kimsuky למשרד ייעוץ אסטרטגי הזמנה לכנס שלא קיים. הקוד הוביל לדף הרשמה עם כפתור, והכפתור הוביל לדף התחברות מזויף של Google. בדרך הזו יש כמה שלבים שנראים לגיטימיים.
לפי Security Affairs, Kimsuky מוכרת גם בשמות APT43, Thallium ו-Velvet Chollima. Kaspersky זיהתה אותה ב-2013, והיא פועלת תחת הלשכה הכללית לסיור (RGB) של צפון קוריאה.
מה זה אומר עבורכם
- אל תסרקו קוד לא צפוי: ה-FBI מורה להזהיר עובדים מקוד QR שלא ביקשו. זה חל על מייל, מכתב, פלייר ואריזה.
- אמתו את המקור: לפני הזנת סיסמה או הורדת קבצים, פנו לשולח בערוץ אחר, כמו טלפון.
- הפעילו אימות עמיד לפישינג: ה-FBI ממליץ עליו לכל גישה מרחוק ולמערכות רגישות. אסימון גנוב עוקף אימות רגיל.
- בדקו כלי הגנה לנייד: ארגונים יכולים להפעיל ניהול מכשירים או כלי אבטחה. הם בודקים את הכתובת שמאחורי הקוד.
- נטרו התחברויות: עקבו אחרי הזנת פרטים והתחברויות מיד אחרי סריקת קוד. קבעו כלל לדיווח על קוד חשוד.
מה הלאה
ה-FBI מבקש מארגונים שנתקלו בפעילות כזו לדווח לצוות הסייבר המקומי שלו ול-IC3. מי שנתקל בקוד חשוד צריך לדווח ראשית לצוות האבטחה של הארגון.
הנקודה המעשית היא שקוד QR הוא כתובת שאי אפשר לקרוא בעין. מי שמתייחס אליו כאל קישור לא מוכר, מצמצם את הסיכון.
מקורות והרחבה
- North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities (FLASH AC-000001-MW)FBI IC3
- North Korean hackers use phony QR codes in phishing attacks on US orgs, FBI warnsBitdefender
- North Korea-linked APT Kimsuky behind quishing attacks, FBI warnsSecurity Affairs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
