FBIがキムスキのQRコード悪用クィッシングを警告

米連邦捜査局（FBI）は、北朝鮮が背後にいるハッカー組織キムスキ（Kimsuky）が、米主要機関を標的に悪性QRコードを用いたハッキング（クィッシング・Quishing）を行っていると警告した。

FBIは8日（現地時間）、キムスキのハッカーらが最近「クィッシング」の手口で米国内の北朝鮮関連外交政策の専門家から情報を窃取しようとした試みが捕捉されたという内容のサイバー情報速報案内文を公開した。案内文によると、キムスキの攻撃対象は非政府組織（NGO）、シンクタンク、学術機関など、主に米国の対北朝鮮政策関連機関であった。

「クィッシング」は、QRコード内に悪性URLを仕込むハッキング手口を指す。FBIは、キムスキがこれらの機関の職員に対し、アンケートのリンクや行事参加申込ページなどに偽装したサイトへ誘導するQRコードを挿入したと説明した。これにより、パスワードや個人情報、指紋などの機微情報を窃取しようとした事例が複数報告された。

FBIは、企業や機関などが役職員に対し、確認されていないQRコードをスキャンする行為が危険であることを教育すべきだと強調した。また、複雑なパスワードの設定を義務づける方策も対応策として挙げた。

また、QRコード接続URLを分析できるモバイル向けセキュリティツールの配布、フィッシング防止のための多要素認証の使用、QRコードをスキャンした後の行動の記録およびモニタリング、ユーザーのアクセス権限の見直しなども勧告した。