Quishing (T1660)

Quishing הוא פישינג שמגיע כקוד QR במקום קישור. הקוד הוא תמונה, ולכן לתוכנה שבודקת הודעות לאיתור קישורים מסוכנים אין מה לקרוא, והיעד מופיע רק אחרי שמצלמה מפענחת אותו. MITRE ATT&CK עוקב אחריו במטריצת המובייל שלו כ-`T1660`.

ההגייה היא KWISH-ing, מתחרז עם fishing, ומילון Cambridge הוסיף אותו לרשימת המילים החדשות ב-2024. מספיק אנשים שואלים, עד שמנועי חיפוש עונים היום על ההגייה לפני שהם עונים על ההגדרה, ומסתמכים על מילונים ולא על אף עמוד אבטחה.

ויש כאן משהו מוזר בעצות שמצמידים ל-quishing. הטיפ הכי חוזר, בשני מנועי החיפוש הגדולים, הוא לבדוק את כתובת האתר לפני שפותחים אותה. באותן תשובות עצמן כתוב גם שאי אפשר לראות את הכתובת לפני הסריקה. שני המשפטים נכונים, והרצף ביניהם הוא כל המנגנון, ואף עמוד תוצאות לא מסביר אותו.

העמוד הזה מסביר אותו, ואחר כך עובר על מה שאומרת התראה ממשלתית שפורסמה בינואר על אותה מתקפה.

הסבירו לי כאילו אני בן עשר

קוד QR הוא תמונה של כתובת אתר. זה הכול.

אדם לא יכול לקרוא תמונה של כתובת, וגם רוב התוכנות שבודקות הודעות לאיתור קישורים מסוכנים לא יכולות. מצלמה כן יכולה. לכן הבדיקה שבדרך כלל הייתה קורית לפני שההודעה מגיעה אליכם לא קורית בכלל, והדבר הראשון שקורא את הכתובת הוא הטלפון שבידכם.

וזה אומר שקו ההגנה האחרון הוא אדם שאוחז בטלפון, מסתכל על פיסת טקסט קטנה, ומחליט אם ללחוץ.

זו לא ביקורת על אף אחד. זה תיאור של המקום שבו נחתה ההחלטה.

למה quishing עובר את הפילטרים

המנגנון לא מסובך, וכל התחום מתאר אותו באותו אופן. פילטר שמחפש קישורים מסוכנים צריך קישור להסתכל עליו. לקוד QR אין כזה. היעד מקודד בתבנית של ריבועים, ושום דבר לא הופך אותו לכתובת עד שמצלמה עושה את זה.

לכן הודעה שנושאת קוד יכולה לעבור בדיקות שהיו עוצרות את אותה הודעה עם אותה כתובת כטקסט. התוכן זהה. רק הפורמט השתנה.

כדאי לדעת גם איך הקודים האלה באמת מגיעים, כי התשובה פחות אקזוטית ממה שהדוגמאות הפומביות מרמזות. דיווח של Microsoft לרבעון הראשון של 2026 מצא שקובצי PDF מצורפים היו שיטת המסירה הדומיננטית לאורך כל הרבעון. התמונה בדרך כלל לא מודבקת בגוף ההודעה עצמה; היא נמצאת בתוך מסמך מצורף, וזו שכבה שנייה בין הקוד לבין כל דבר שנועד לבדוק אותו.

ההודעה נבדקת במכשיר אחד והפעולה מתבצעת במכשיר אחר

יש כאן תוצאה שנייה, והיא החשובה יותר. הנקודה הזו נגזרת מהמבנה ולא מנוסחת במפורש במקור בודד, אבל היא נובעת ישירות ממיקום הרכיבים.

האימייל מגיע למחשב עבודה, שבדרך כלל מנוהל, מעודכן ומנוטר. את הקוד סורקים בטלפון, שבדרך כלל לא. המתקפה מעבירה אתכם ממכשיר מפוקח למכשיר לא מפוקח, והיא עושה את זה בתנועה כל כך שגרתית שאף אחד לא חווה אותה כהחלטה.

מה הטלפון שלכם באמת עושה כשאתם סורקים

זו השאלה שרוב האנשים באמת שואלים, ויש לה תשובה מתועדת.

נתחיל מהסתירה. הסיכום של Google למונח הזה קובע ש"אי אפשר לראות את כתובת האתר האמיתית לפני שסורקים את הקוד". ארבעה תבליטים אחר כך הוא מייעץ: "אם הטלפון מציג לכם את כתובת האתר אחרי הסריקה, קראו אותה בעיון לפני שלוחצים כדי לפתוח." המנוע הגדול השני הולך רחוק יותר ומציע להשתמש בסורק QR שמציג את ה-URL, מה שמרמז שהסורק שכבר נמצא בטלפון שלכם לא עושה את זה.

מה המצלמה באמת עושה

ההנחיות של Apple למצלמה שלה מתארות רצף אחר. פותחים את אפליקציית Camera, מחזיקים את המכשיר כך שהקוד מופיע, ובאנר התראה מופיע בראש המסך. אחר כך לוחצים על הבאנר כדי לפתוח את התוכן. יש גם כפתור Scan Code ב-Control Center שמתנהג באותו אופן.

מרכז הסייבר של אוסטרליה מתאר את אותה קטגוריית מתקפה כ"טכניקת הנדסה חברתית שמרמה אתכם לסרוק קודי QR זדוניים", וזה מסגור מדויק יותר מרוב האחרים: החלק הטכני טריוויאלי, והחלק שצריך לעבוד הוא השכנוע.

כלומר היעד כן מוצג, ונדרשת לחיצה. הכתובת לא נראית לפני הסריקה, והיא כן נראית אחריה. שני חלקי העצה תיארו את אותן שתי שניות משני צדדים.

מה זה לא אומר

שלוש מגבלות, כי כאן קל להגזים בטענות.

זו התנהגות מתועדת של חברה אחת עבור אפליקציית המצלמה שלה. זו לא אמירה על כל אפליקציית סריקה, על כל build של Android, או על כל גרסה של משהו. בדקו מה המכשיר שלכם עושה.

חשוב יותר: שום דבר כאן לא מראה שאנשים קוראים את מה שמוצג להם. הבאנר קטן, הוא מופיע בזמן שאתם עדיין מחזיקים את הטלפון בזווית לא נוחה, והלחיצה עליו היא ההמשך הטבעי של התנועה שכבר התחלתם. להראות משהו ולקרוא אותו הם שני אירועים שונים.

וזה המסגור ששווה לקחת מכאן. העצה הסטנדרטית לא מבקשת מכם לרכוש יכולת שחסרה לכם. היא מבקשת שתי שניות של תשומת לב ברגע שתוכנן להרגיש כאילו שום דבר לא קורה.

האם סיפור המדבקה אמיתי

כל הסבר בנושא מזכיר מישהו שמדביק קוד QR מזויף מעל קוד אמיתי, על מדחן חניה או תפריט מסעדה או שלט ציבורי. כשעשרים עמודי ספקים חוזרים על אותה דוגמה צבעונית, האינסטינקט הסביר הוא לשאול מי בכלל תיעד את זה.

המחקר לעמוד הזה התחיל מהחשד הזה, והחשד היה שגוי. מגיע לומר את זה ישירות ולא לזנוח בשקט, כי עמוד שמדווח רק על הציפיות שהצליח לאשר פחות שימושי מעמוד שמדווח גם על אלה שנאלץ לנטוש. הטענה מגובה במקורות טובים יותר ממה שנראה ממאגר הספקים.

מי תיעד את זה בפועל

תיאור הטכניקה של MITRE עצמו נושא את התרחיש במילות המסגרת: יריב "יכול להחליף קוד QR ציבורי לגיטימי באחד שמוביל ליעד אחר, למשל אתר פישינג". נציבות הסחר הפדרלית של ארה"ב (FTC) פרסמה התראת צרכנים על נוכלים שמכסים קודי QR בקודים שלהם בדצמבר 2023. רשויות תחבורה עירוניות הוציאו אזהרות משלהן על מדבקות על מדחנים, הונולולו באפריל 2023 וניו יורק בהמשך. שירות המפקחים של דואר ארה"ב מנהל עמוד בנושא.

זו מסגרת, רגולטור צרכנים פדרלי, לפחות שתי מחלקות תחבורה עירוניות ושירות אכיפת חוק פדרלי. הדוגמה חוזרת על עצמה כי היא מתועדת, לא כי היא הומצאה.

אבל זה לא המקרה הנפוץ

מתועד זה לא אותו דבר כמו טיפוסי. המדידה בהמשך העמוד סופרת קודים שמגיעים באימייל, בעיקר בתוך קובצי PDF מצורפים, בנפחים שמגיעים למיליונים בחודש. המדחן הוא הדוגמה שנחרתת בזיכרון כי היא פיזית וקל לדמיין אותה. המקרה הרגיל הוא מסמך מצורף להודעה, וזה מה שרוב האנשים באמת יפגשו.

איך המסגרת קוראת לזה

MITRE ATT&CK עוקב אחרי זה כ-`T1660`, Phishing - והפרט המעניין הוא באיזו מטריצה זה יושב.

זה לא במטריצת Enterprise של ATT&CK. זה במטריצת הMobile, תחת Initial Access, עם פלטפורמות Android ו-iOS. הטכניקה בגרסה 1.2 ועודכנה לאחרונה ב-12 במאי 2026. אין לה תת-טכניקות, וזה עצמו אינפורמטיבי לטכניקה שמדברים עליה כל כך הרבה: המסגרת מתייחסת ל-quishing כווריאציית מסירה אחת מתוך כמה, ולא כמשפחה בפני עצמה.

האובייקט חי במקום שבו המתקפה נוחתת. זה פרט קטן של סדר במסגרת שקורה שמתאר את הבעיה טוב יותר מרוב הפסקאות שנכתבו עליה: מה שמותקף הוא טלפון, ולכן הבקרות שמגנות על מחשב עבודה לא נמצאות בתמונה.

שתי מיטיגציות, ואחת מהן היא אתם

המיטיגציות שלה קצרות מספיק כדי לציין במלואן. יש שתיים. אחת היא כלי antivirus ו-antimalware שמסוגלים לחסום דומייני פישינג מוכרים. השנייה היא הנחיה למשתמשים. בין דוגמאות הפרוצדורה של הטכניקה מופיעה קבוצה ש-MITRE עוקב אחריה כ-Kimsuky, שתועדה כמי שפרסה קודי QR זדוניים באימיילי פישינג שכוונו לישויות בארה"ב - ומשם מתחיל הסעיף הבא.

מה ה-FBI פרסם בינואר

בינואר 2026 הוציא ה-FBI התראת FLASH, מסומן TLP:CLEAR ובתיאום עם המשרד לביטחון המולדת ועם CISA. הוא קובע ש"ה-FBI זיהה גורמי Kimsuky שפורסים קודי QR זדוניים כחלק מקמפייני spearphishing ממוקדים", ומפרט ארבעה אירועים עם תאריכים.

במאי 2025, גורמים שהתחזו ליועץ זר שלחו אימייל לראש think tank וביקשו תובנות על התפתחויות בחצי האי הקוריאני, וסיפקו "קוד QR לסריקה לצורך גישה לשאלון". בהמשך אותו חודש, גורמים שהתחזו לעובד שגרירות שלחו אימייל לחוקר בכיר בנושא זכויות אדם בצפון קוריאה, עם קוד ש"התיימר לספק גישה לכונן מאובטח". גם במאי, קוד הוביל ישירות ל"תשתית של Kimsuky שנועדה לביצוע פעילות זדונית".

ואז, ביוני 2025, חברת ייעוץ אסטרטגי קיבלה הזמנה לכנס שלא היה קיים. הקוד הוביל לעמוד הרשמה עם כפתור. הכפתור הוביל לעמוד התחברות מזויף של חשבון Google.

מיפוי מחזור החיים שאף אחד לא מצטט

אותה התראה מפרסמת משהו שאף עמוד בשני מנועי החיפוש לא מזכיר: טבלה שממפה את כל המתקפה לטכניקות המסגרת.

שתי שורות מתוכן ראויות להערה ולא להסבר. גניבת session token ועקיפת MFA חולקות מזהה כי הן אותה מהלך, והמהלך הזה הוא נושא המאמר באתר הזה על פישינג מסוג adversary-in-the-middle. הנקודה כאן היא רק שהתראה ממשלתית רואה בהן חלק מאותו מחזור חיים כמו הקוד שסרקתם.

מה הוא אומר לארגונים לעשות

ההמלצות בהתראה מגיעות לכשניים עשר סעיפים, ורובם מוכרים: לחנך עובדים לגבי קודים לא מבוקשים "בלי קשר למקור שלהם (אימייל, מכתב, פלייר, אריזה)", לאמת מקורות "באמצעים משניים (למשל יצירת קשר ישיר עם השולח)", לדרוש אימות רב-שלבי (MFA) עמיד לפישינג (Phishing-resistant MFA), ולבצע ביקורת על הרשאות גישה. שתיים מהן חריגות מספיק כדי לציין בנפרד. הוא אומר לארגונים לפרוס כלים "שמסוגלים לנתח כתובות URL שמקושרות מ-QR לפני שמתירים גישה למשאבי web", ולרשום ולנטר "את כל הזנת פרטי ההזדהות ואת פעילות הרשת אחרי סריקות קוד QR". ההוראה השנייה הזו היא עצת הזיהוי היחידה שנמצאה בכל המחקר לעמוד הזה. כל השאר בשני עמודי החיפוש הוא מניעה.

האם זה באמת מחמיר

יש מדידה אחת מארגון עם נקודת התצפית לבצע אותה. צוותי threat intelligence ו-Defender research של Microsoft פרסמו דיווח על איומי אימייל לרבעון הראשון של 2026 ב-30 באפריל.

המספרים שלהם מראים שנפחי מתקפות קוד QR עלו מ7.6 מיליון בינואר ל-18.7 מיליון במרץ, עלייה של 146%, עם צמיחה חודשית של 59% בפברואר ו-55% במרץ.

מה המספר הזה כן ומה הוא לא

אלה זיהויים של חברה אחת, על פני מערכות אבטחת האימייל שלה, לאורך רבעון אחד. זו מגמת נפח, ותלולה. זה לא נתון שכיחות, לא סך תעשייתי, ולא ספירה של מישהו שהפסיד כסף או שאיבד חשבון.

אותו דיווח מוסיף פרט על המסירה ששימושי יותר מהכותרת. קובצי PDF מצורפים היו הדרך הדומיננטית שבה הקודים האלה הגיעו לאורך כל הרבעון. קודים ששובצו ישירות בגוף האימייל זינקו ב-336% במרץ - ועדיין היוו רק 5% מסך הנפח. שני המספרים האלה שייכים יחד. אחוז השינוי גדול כי הבסיס קטן.

ותחת הכול יש פער. לא נמצאה ספירת קורבנות למאמר הזה. נפח זיהוי סופר הודעות שנתפסו. הוא לא סופר אנשים שהפסידו משהו, ושני הדברים לא ניתנים להחלפה.

הדבר האחד שכדאי לשנות

רוב העמודים בנושא נגמרים בעשר או בארבע עשרה עצות. הנה אחת.

קראו את הבאנר לפני שאתם לוחצים עליו. זו כל הבקשה. הטלפון שלכם שם את היעד מולכם ומחכה; השינוי הוא להשקיע בזה שתי שניות במקום להשלים את התנועה אוטומטית.

לגיטימי לשאול למה משהו כל כך קטן מספיק כדי לשנות. הברור מבין המקרים המתועדים למעלה נגמר כמו שרוב המקרים האלה נגמרים: אדם מגיע לעמוד שמתחזה לשירות שהוא משתמש בו, ומקליד לתוכו משהו. הבאנר הוא הרגע האחרון לפני שהעמוד הזה נטען, והוא הרגע היחיד שבו הכתובת נראית ועדיין לא קרה כלום.

למה לא רשימה ארוכה יותר

העצות של התחום עצמו לא שגויות. שני מנועי החיפוש ממליצים לבדוק קודים פיזיים לאיתור מדבקות, להציג תצוגה מקדימה של הכתובת, לנווט ידנית לאתר הרשמי, ולעולם לא להזין פרטי הזדהות בעמוד שהגעתם אליו מסריקה. עמוד ספק אחד מגיע לארבע עשרה עצות.

הבעיה עם ארבע עשרה עצות היא שאף אחד לא מאמץ ארבעה עשר הרגלים. בדיקת הבאנר היא זו שיושבת בנקודת ההחלטה, חלה על כל המקרים למעלה, ועולה שתי שניות.

שלושה הרגלים תומכים, ואז הסעיף נעצר. כשקוד מגיע במפתיע ומבקש תשלום או התחברות, הקלידו את הכתובת בעצמכם במקום. התייחסו לקוד בהודעה לא צפויה בדיוק כמו שהייתם מתייחסים לקישור בהודעה כזו. ואם אתם מנהלים את האבטחה של ארגון, הרשימה של ה-FBI עצמו היא נקודת התחלה טובה יותר מזו של כל ספק, במיוחד ההוראה לנטר מה קורה אחרי סריקה.

אין כאן אפליקציה להתקין, ואין הגדרה לשנות. הטלפון כבר עושה את ההצגה. מה שהוא לא יכול לעשות זה את ההסתכלות.

מה העמוד הזה לא יכול לספר לכם

• אף אחד לא מפרסם ספירת קורבנות. המספרים הזמינים הם זיהויים, והמאמר אומר את זה במקום שבו הוא משתמש בהם.
• התנהגות הסריקה שמתוארת היא של Apple, מתועדת עבור אפליקציית המצלמה שלה. זו לא אמירה על כל מכשיר, והיא לא מראה שמישהו קורא את הבאנר. ההבחנה הזו היא מגבלה של המאמר עצמו לא פחות מאשר של הפלטפורמה.
• עמוד אחד שנקרא בהרחבה טוען שאנשים מבוגרים הם היעד הנפוץ ביותר של quishing. לא נמצאה לכך ראיה, והטענה לא חוזרת כאן. טענה על אילו אנשים נתפסים צריכה נתונים מאחוריה, ובלי נתונים זה סטריאוטיפ ולא ממצא.
• שני מקורות לא היו ניתנים לקריאה. עמוד ה-quishing של ממשלת אוסטרליה נתקע ב-timeout בשני ניסיונות, והתראת הצרכנים של ה-FTC החזירה שגיאה. שניהם מצוינים למעלה כי קיומם ותאריכיהם מבוססים, ואף אחד מהם לא מצוטט ישירות ולא מקושר.

הגרסה הקצרה

Quishing הוא פישינג שמגיע כתמונה. התמונה עוקפת את הפילטרים שקוראים קישורים, והדבר הראשון שמסוגל לקרוא את הכתובת הוא הטלפון שבידכם.

וזו גם החדשות הטובות, והחלק שהעצות כמעט אומרות. הטלפון שלכם מראה לכם לאן הקוד הולך, ומחכה שתלחצו. הכתובת לא מוסתרת אחרי הסריקה. היא פשוט מוצגת ברגע שבו אתם באמצע תנועה ולא מצפים לקבל החלטה.

המתקפה אמיתית, מתועדת על ידי מסגרת, רגולטור פדרלי, מחלקות תחבורה עירוניות והתראה של ה-FBI שעוקבת אחרי ארבעה אירועים מתוארכים שמסתיימים בעמוד התחברות מזויף. שום דבר מזה אינו סיבה להפסיק לסרוק קודי QR. זו סיבה להסתכל על הבאנר.