Kimsukin QR-koodien tietojenkalasteluhyökkäys

Yhdysvaltain liittovaltion tutkintavirasto (FBI) on antanut julkisen varoituksen, jonka mukaan Pohjois-Korean valtion tukemat uhkatoimijat käyttävät aktiivisesti haitallisia QR-koodeja tarkasti kohdennetuissa tietojenkalastelukampanjoissa Yhdysvalloissa toimivia organisaatioita vastaan. Nämä vuoden 2025 aikana havaitut operaatiot edustavat kasvavaa siirtymistä kohti "quishing"-hyökkäyksiä – tietojenkalasteluhyökkäyksiä, jotka perustuvat pikavastekoodeihin (QR) haitallisen sisällön toimittamiseen.

Kuka on kampanjoiden takana?

Toiminnan on katsottu olevan Kimsuky-uhkaryhmän hallussa, joka tunnetaan turvallisuusyhteisössä myös nimillä APT43, Black Banshee, Emerald Sleet, Springtail, TA427 ja Velvet Chollima. Tämän ryppään arvioidaan olevan yhteydessä Pohjois-Korean tiedustelupalveluun (RGB).

Kimsukylla on pitkäaikainen maine kehittyneistä keihästietojenkalasteluoperaatioista, erityisesti sellaisista, joiden tarkoituksena on kiertää tai heikentää sähköpostin todennusta. Toukokuussa 2024 Yhdysvaltain hallitus raportoi julkisesti, että ryhmä oli hyödyntänyt heikkoja tai väärin määritettyjä DMARC-käytäntöjä lähettääkseen sähköposteja, jotka uskottavasti jäljittelivät laillisia verkkotunnuksia.

Miksi QR-koodit tekevät näistä hyökkäyksistä niin vaarallisia

Toisin kuin perinteiset tietojenkalasteluhyökkäykset, QR-pohjaiset houkuttimet ohjaavat uhrit pois yrityksen hallinnoimista järjestelmistä henkilökohtaisille tai kevyesti suojatuille mobiililaitteille. Tämä muutos antaa hyökkääjille mahdollisuuden ohittaa yritysten sähköpostin suojaustyökalut, päätepisteiden suojausalustat ja verkon valvontamekanismit.

Skannauksen jälkeen haitalliset QR-koodit ohjaavat kohteet hyökkääjän hallitsemaan infrastruktuuriin, jossa tunnistetiedot, istuntokohtaiset evästeet tai arkaluontoiset tiedot voidaan kerätä ilman, että ne laukaisevat yrityksen tavanomaisia hälytyksiä.

FBI:n havaitsemat hyökkäysskenaariot vuonna 2025

FBI raportoi useista Kimsuky-toimijoiden touko- ja kesäkuussa 2025 toteuttamista kohdennetuista kampanjoista, mukaan lukien:

• Ulkopoliittisena neuvonantajana esiintyminen ja ajatushautomon johtajan pyytäminen skannaamaan QR-koodi, jolla hän pääsee käsiksi Korean niemimaan tilanteen kehittymistä koskevaan kyselyyn
• Esiintyy suurlähetystön työntekijänä ja pyytää asiantuntijan näkemyksiä Pohjois-Korean ihmisoikeuksista QR-koodilla, joka väittää linkittävän "suojattuun asemaan".
• Ajatushautomon työntekijäksi tekeytyminen ja QR-koodien lähettäminen, jotka ohjasivat uhrit hyökkääjän hallitsemaan infrastruktuuriin jatkokäyttöä varten
• Strategiseen neuvontayritykseen kohdistuneet väärennetyt konferenssikutsut ja QR-koodit, jotka johtivat vilpillisille rekisteröintisivuille, joiden tarkoituksena oli varastaa Google-tilin tunnistetiedot väärennettyjen kirjautumisportaalien kautta.

Nämä tapaukset seurasivat pian erillistä tietoturvatutkijoiden paljastusta, jossa he paljastivat Kimsukyn pyörittämän QR-kampanjan, joka levitti uutta Android-haittaohjelmamuunnosta, 'DocSwapia', Soulissa toimivaa logistiikkayritystä jäljittelevien tietojenkalasteluviestien avulla.

Kuinka Quishing mahdollistaa MFA-sietoiset tunkeutumiset

Nykyaikaiset quishing-operaatiot huipentuvat usein istuntotunnusten varastamiseen ja toistamiseen. Tallentamalla aktiivisia todennustunnuksia hyökkääjät voivat ohittaa monivaiheisen todennuksen kokonaan ja ottaa haltuunsa pilvi-identiteetit laukaisematta tavanomaisia "MFA epäonnistui" -varoituksia.

Tästä eteenpäin hyökkääjät luovat pysyvyyden uhriympäristössä ja usein hyödyntävät vaarantunutta postilaatikkoa käynnistääkseen toissijaisia keihäiskalastelukampanjoita sisäisesti. Koska alkuperäinen vaarantuminen tapahtuu hallitsemattomissa mobiililaitteissa, normaalin EDR-kattavuuden ja verkon tarkastusrajojen ulkopuolella, quishing-menetelmää pidetään nykyään erittäin luotettavana ja MFA-suojattuna identiteetin tunkeutumistekniikkana yritysympäristöissä.