Новая фишинговая схема обходит корпоративную защиту с помощью ASCII-графики. Разбираемся, почему это опаснее, чем кажется.
Что случилось
Эксперты «Лаборатории Касперского» зафиксировали новую волну фишинговых атак, в которых QR-коды создаются не как графические изображения, а из текстовых символов Unicode. Визуально это выглядит как обычный QR-код — его можно отсканировать камерой смартфона, но для почтовых фильтров безопасности он остаётся просто набором символов.
Результат: письмо проходит защиту и попадает во входящие сотрудника.
Почему это называют техникой из 1960-х
ASCII-графика — способ создавать изображения из текстовых символов — появилась на заре компьютерной эры, когда дисплеи не умели отображать картинки. В 2000-х спамеры уже использовали этот принцип, чтобы обходить фильтры ссылок. Теперь та же идея адаптирована под QR-фишинг.
Злоумышленники не изобретают новые методы, а успешно адаптируют проверенные временем подходы под современные реалии.
Как выглядит атака изнутри
- Сотрудник получает письмо, внешне неотличимое от деловой переписки, где отправителем является «партнёр» или «контрагент». Суть письма: нужно подписать конфиденциальный документ через сервис электронного документооборота — Диадок, Saby или аналог.
- Для доступа к документу предлагают отсканировать QR-код прямо из письма.
- Сканируя код, сотрудник попадает на фальшивую страницу авторизации. Стоит ему ввести корпоративный логин и пароль — и учетные данные скомпрометированы.
Технический периметр компании при этом формально не нарушен. Никакого вредоносного файла, никакой подозрительной ссылки в теле письма. Человек сам всё сделал.
Почему это важно для безопасности бизнеса
Утечка учетных данных одного сотрудника выходит за рамки потери отдельного пароля. Данный инцидент сопряжен с рисками несанкционированного доступа к внутренним системам, корпоративной переписке, финансовой документации и персональным данным клиентов.
Атака построена так, чтобы эксплуатировать сразу два фактора: доверие к знакомым сервисам и слепое пятно в технической защите. Даже хорошо настроенный почтовый фильтр не спасает, если он не умеет анализировать текстовые QR-коды.
Что должен знать каждый сотрудник
Если QR-код в деловом письме составлен из символов, а не является картинкой — это красный флаг. Приблизьте изображение: вместо чёрно-белых пикселей вы увидите символы вроде █ и ▀.
Главное правило: любой QR-код, после сканирования которого просят ввести корпоративные учётные данные — повод остановиться и проверить через другой канал связи, действительно ли партнёр отправлял этот документ.
Вывод
Фишинг эволюционирует не за счёт сложных технологий, а за счёт понимания того, как устроена защита — и где в ней дыры. Технологии меняются, а внимательность всё ещё лучшая защита.