QRLJacking bezeichnet eine Angriffstechnik, bei der Angreifer den QR-Code-basierten Anmeldeprozess eines Dienstes manipulieren, um eine bestehende Sitzung zu \u00fcbernehmen. Auf einer gef\u00e4lschten Login-Seite ersetzt der Angreifer den legitimen QR-Code durch einen selbst kontrollierten Code; scannt das Opfer diesen Code mit der eigenen App, \u00fcbertr\u00e4gt es dabei unbeabsichtigt seine Sitzungsberechtigung an den Angreifer<\/strong>. Die Technik richtet sich gegen Dienste, die QR-Codes als Authentifizierungsmethode einsetzen, etwa Messaging-Dienste oder Web-Logins mit mobiler Best\u00e4tigung, und nutzt das Vertrauen der Nutzer in QR-Codes als scheinbar sichere Anmeldemethode aus, ohne dass eine klassische Passwort-Phishing-Seite ben\u00f6tigt wird. Weil der Angreifer selbst \u00fcber einen g\u00fcltigen, vom Zieldienst ausgestellten QR-Code verf\u00fcgt, wirkt die gef\u00e4lschte Seite auf den ersten Blick funktional identisch zur echten Anmeldeseite.<\/p>\n Setzt ein Versicherer einen QR-Code-basierten Anmeldeprozess f\u00fcr Mitarbeiter oder Kunden ein, kann ein manipulierter QR-Code nach dem Scan die aktive Sitzung an den Angreifer \u00fcbertragen. Der Angreifer erh\u00e4lt dadurch denselben Zugriff wie der urspr\u00fcngliche Nutzer, solange die Sitzung nicht separat durch zus\u00e4tzliche Best\u00e4tigungsschritte abgesichert ist<\/strong>.<\/p>\n QRLJacking nutzt aus, dass QR-Code-Login-Systeme eine Sitzung an das Scannen eines Codes statt an eine Passworteingabe koppeln. Der Angreifer ruft zun\u00e4chst selbst die regul\u00e4re Login-Seite des Zieldienstes auf und erh\u00e4lt dadurch einen eigenen, g\u00fcltigen QR-Code; diesen bettet er anschlie\u00dfend in eine nachgebaute, optisch identische Login-Seite ein. Weil der Code technisch echt und lediglich falsch zugeordnet ist, erkennen Sicherheitsmechanismen, die nur auf gef\u00e4lschte Inhalte pr\u00fcfen<\/strong>, den Angriff dadurch nicht.<\/p>\n Bringt der Angreifer das Opfer per Social Engineering dazu, die nachgebaute Seite zu \u00f6ffnen und den eingebetteten Code mit der eigenen App zu scannen, best\u00e4tigt das Opfer damit unwissentlich die Sitzung des Angreifers auf dem echten Dienst. Ab diesem Moment agiert der Angreifer in der best\u00e4tigten Sitzung im Konto des Opfers, ein klassisches Session Hijacking<\/strong>. Ein zus\u00e4tzlicher Best\u00e4tigungsschritt auf einem zweiten, unabh\u00e4ngigen Kanal kann diese automatische Best\u00e4tigung durchbrechen.<\/p>\nWie funktioniert QRLJacking?<\/h2>\n
Woran erkenne ich QRLJacking?<\/h2>\n