Quishing-Attacken: 11% aller Phishing-E-Mails nutzen QR-Codes

Sicherheitsexperten warnen vor einer signifikanten Zunahme von QR-Code-Phishing, dem sogenannten Quishing, das zunehmend die Sicherheitsbarrieren in Unternehmensumgebungen überwindet. Laut dem ESET Threat Report für das erste Halbjahr 2026 enthielten bereits 11% aller analysierten Phishing-E-Mails bösartige QR-Codes.

Diese Taktik zielt darauf ab, potenzielle Opfer von ihren durch Filter geschützten Desktop-Arbeitsplätzen auf private Mobilgeräte zu locken, auf denen traditionelle Sicherheitsmaßnahmen oft weniger wirksam greifen.

Neue Taktiken und technologische Risiken

Die von ESET beobachteten Methoden entwickeln sich stetig weiter. Zu den neuen Techniken gehören der Diebstahl von Token für die Multi-Faktor-Authentifizierung (MFA), die Initiierung schädlicher App-Downloads sowie Manipulationen im Bereich von Wi-Fi-Verbindungen. Das Unternehmen identifiziert diese Angriffsformen unter der Bezeichnung QRCode/Phishing.

Besondere Aufmerksamkeit widmet das FBI derzeit der nordkoreanischen Hackergruppe Kimsuky, die auch unter der Bezeichnung APT43 bekannt ist. Die Behörde warnt, dass diese Gruppe gezielt QR-Codes für Spearphishing-E-Mails gegen Organisationen in den USA einsetzt. Diese Angriffe gelten als besonders gefährlich, da sie als „MFA-resilient“ eingestuft werden – sie sind also in der Lage, gängige Multi-Faktor-Authentifizierungen zu umgehen.

Da Angreifer gezielt versuchen, die Multi-Faktor-Authentifizierung zu umgehen, wird der Schutz des mobilen Endgeräts zur obersten Priorität. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Die Taktik der Kimsuky-Gruppe sieht vor, Opfer gezielt auf Mobilgeräte zu leiten. Dort wird ein sogenanntes Fingerprinting des Geräts durchgeführt, um anschließend gezielt Zugangsdaten zu entwenden. Erste Meldungen über diese spezifischen Kimsuky-Angriffe datierten bereits auf den Januar 2026.

Staatliche Warnungen vor physischen Manipulationen

Auch staatliche Stellen in Asien schlagen Alarm. Das chinesische Ministerium für Staatssicherheit benennt drei primäre Gefahrenquellen im Umgang mit den Codes: manipulierte Geschäftsabwicklungen, das bösartige Überkleben rechtmäßiger QR-Codes im öffentlichen Raum sowie die Verteilung von Geschenken mit integrierten Codes in der Nähe von Geheimnisträgern.

Diese Methoden bergen Risiken wie großflächigen Datendiebstahl und unbefugten Datenhandel, was letztlich eine Gefahr für die nationale Sicherheit darstellen könne.

Wer sich mit den Gefahren durch manipulierte Codes und Phishing befasst, sollte auch die grundlegende Sicherheit seines Betriebssystems nicht vernachlässigen. Erfahren Sie in diesem gratis PDF-Report, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Android-Update-Ratgeber herunterladen

Die Bedrohung erstreckt sich zudem auf spezialisierte Branchen wie das Gesundheitswesen. In Arztpraxen nutzen Angreifer personalisierte Informationen von Datenbrokern, um täuschend echte Portale zu erstellen. Ziel ist hierbei häufig der Diebstahl von Medicare-Nummern. Experten raten dringend dazu, QR-Codes vor jedem Scanvorgang manuell zu verifizieren.

Strategien zur Prävention in Unternehmen

Um den steigenden Risiken durch Quishing, Smishing (Phishing per SMS) und KI-gesteuerte Angriffe zu begegnen, fordern Experten eine Anpassung der Verteidigungsstrategien. CybeReady betont in diesem Zusammenhang die Notwendigkeit einer starken Sicherheitskultur im Unternehmen.

Als wirksame Abwehrmaßnahmen werden neben kontinuierlichen Mitarbeiterschulungen der Einsatz von Mobile Device Management (MDM) sowie robuste Multi-Faktor-Authentifizierungen genannt.

Juristen und Sicherheitsexperten empfehlen zudem die Durchführung simulierter Angriffe. Solche praktischen Übungen könnten dazu beitragen, das Bewusstsein der Belegschaft für diese spezifische Form des digitalen Betrugs zu schärfen und die Reaktionsfähigkeit der internen IT-Sicherheit zu stärken.