Kỹ thuật này còn được gọi là “quishing” - vốn không phải là mới, nhưng lại rất hiệu quả trong các cuộc tấn công lừa đảo vì có thể vượt qua được sự phát hiện của các giải pháp bảo mật. Hoạt động bị theo dõi nhắm vào các tổ chức tham gia vào chính sách, nghiên cứu và phân tích liên quan đến Triều Tiên, bao gồm các tổ chức phi chính phủ, viện nghiên cứu, các tổ chức học thuật, các công ty tư vấn chiến lược và các cơ quan chính phủ tại Mỹ.
Kimsuky (APT43) là một nhóm tin tặc thường liên quan đến nhiều vụ tấn công giả mạo nhà báo, khai thác các lỗ hổng bảo mật, tấn công chuỗi cung ứng và chiến thuật ClickFix.
FBI cảnh báo trong các chiến dịch năm ngoái, các đối tượng liên kết với Kimsuky đã gửi email chứa mã QR chuyển hướng nạn nhân đến các trang web độc hại được ngụy trang dưới dạng bảng câu hỏi, ổ đĩa bảo mật hoặc trang đăng nhập giả mạo.
Cơ quan này đã cung cấp bốn ví dụ điển hình, trong đó Kimsuky sử dụng kỹ thuật quishing để chuyển hướng mục tiêu đến một vị trí do kẻ tấn công kiểm soát. Để đánh lừa nạn nhân, những kẻ tấn công mạo danh là các nhà đầu tư nước ngoài, nhân viên đại sứ quán, thành viên viện nghiên cứu hay nhà tổ chức hội nghị.
“Vào tháng 6/2025, các tin tặc Kimsuky gửi một email lừa đảo tới một công ty tư vấn chiến lược, mời người nhận tham dự một hội nghị không tồn tại”, FBI cho biết. Trong một chiến dịch đánh cắp thông tin khác, các nạn nhân quét mã QR thường được chuyển hướng qua cơ sở hạ tầng do kẻ tấn công kiểm soát, nơi thu thập dấu vân tay thiết bị, thông tin về trình duyệt, hệ điều hành, địa chỉ IP, kích thước màn hình và ngôn ngữ địa phương.
Thông thường, nạn nhân sẽ nhận được một trang web lừa đảo giả mạo Microsoft 365, Okta, cổng VPN hoặc trang đăng nhập Google, mục tiêu cuối cùng là đánh cắp thông tin đăng nhập hoặc mã truy cập. “Các hoạt động tấn công cho phép tác nhân đe dọa vượt qua xác thực đa yếu tố (MFA) và chiếm đoạt danh tính đám mây mà không kích hoạt cảnh báo”, cơ quan này lưu ý.
Vì buộc nạn nhân phải sử dụng thiết bị di động để quét mã QR, kẻ tấn công có thể tránh được các giải pháp bảo mật email truyền thống và phát tán email độc hại từ hộp thư đến bị xâm nhập.
FBI mô tả các cuộc tấn công này là “phương thức xâm nhập danh tính chống lại xác thực MFA”, vì chúng bắt nguồn từ các thiết bị di động không được quản lý, nằm ngoài phạm vi phát hiện và phản hồi điểm cuối (EDR) tiêu chuẩn và việc giám sát mạng.
Để phòng chống các cuộc tấn công này, FBI khuyến nghị các tổ chức, doanh nghiệp đào tạo nhân viên nâng cao cảnh giác, xác minh nguồn gốc mã QR, triển khai quản lý thiết bị di động và thực thi xác thực MFA.
