[論文レビュー] Gone Quishing: A Field Study of Phishing with Malicious QR Codes

Filipo Sharevski, Amy Devine+2 more|arXiv (Cornell University)|Apr 8, 2022

Spam and Phishing Detection被引用数 8

ひとこと要約

本研究では、COVID-19デジタルパスポート登録を偽装した現実的な状況を想定し、悪意あるQRコードを隠し埋め込んだ「クイシング」（悪意あるQRコードによるフィッシング）の実地調査を実施した。67%の参加者が利便性を優先し、Google や Facebook の認証情報を自発的に共有したことが判明し、クイシングに対する認識は低いことが明らかになった。また、ユーザー保護の向上を目的として、クイシング認識尺度（QAS）と使いやすいセキュリティインジケータを提案した。

ABSTRACT

The COVID-19 pandemic enabled "quishing", or phishing with malicious QR codes, as they became a convenient go-between for sharing URLs, including malicious ones. To explore the quishing phenomenon, we conducted a 173-participant study where we used a COVID-19 digital passport sign-up trial with a malicious QR code as a pretext. We found that 67 % of the participants were happy to sign-up with their Google or Facebook credentials, 18.5% to create a new account, and only 14.5% to skip on the sign-up. Convenience was the single most cited factor for the willingness to yield participants' credentials. Reluctance of linking personal accounts with new services was the reason for creating a new account or skipping the registration. We also developed a Quishing Awareness Scale (QAS) and found a significant relationship between participants' QR code behavior and their sign-up choices: the ones choosing to sign-up with Facebook scored the lowest while the one choosing to skip the highest on average. We used our results to propose quishing awareness training guidelines and develop and test usable security indicators for warning users about the threat of quishing.

研究の動機と目的

• 新型コロナウイルス感染症の流行期における実世界の状況下で、ユーザーのクイシング攻撃への感受性を調査すること。
• 利便性と信頼が、ユーザーがQRコードを通じて認証情報を共有することにどのように影響するかを評価すること。
• 個人のクイシング感受性の差を測定できる「クイシング認識尺度（QAS）」を構築し、妥当性を検証すること。
• 使いやすさを損なわせることなく、クイシングの脅威を警告することができるセキュリティインジケータを設計・テストすること。
• 実証的データに基づいた、クイシング認識訓練のための実用的ガイドラインを提供すること。

提案手法

• 173名の参加者を対象に、現実的なCOVID-19デジタルパスポート登録をシナリオとした実地調査を実施した。
• CDCが認可したポスターに悪意あるQRコードを埋め込み、正当なワクチン接種登録を模倣した。
• 参加者の登録選択肢（Google/Facebook認証情報の使用、新規アカウントの作成、登録をスキップ）を測定した。
• 行動パターンに基づきクイシング認識尺度（QAS）を構築し、信頼性を検証した。
• モバイルデバイス向けのプロトタイプ・セキュリティインジケータを設計・テストし、クイシングリスクを示す機能を実装した。
• セキュリティ警告の時間的コスト対利益のトレードオフを分析し、フォローアップアンケートでユーザーの好みを評価した。

実験結果

リサーチクエスチョン

• RQ1 利便性がセキュリティよりも優先される状況で、ユーザーはクイシング攻撃に対してどれほど感受性を示すか？
• RQ2 QRコードを通じた認証情報の共有意思決定に影響を与える要因は何か—利便性、信頼、または認識の程度か？
• RQ3 ユーザーのクイシング認識とその登録行動の間に、測定可能な相関関係があるか？
• RQ4 使いやすさの障害を引き起こさずに、クイシング脅威を効果的に警告できるセキュリティインジケータは可能か？
• RQ5 実証的行動データに基づいて、クイシング認識訓練をどのように設計できるか？

主な発見

• 67%の参加者が、利便性を優先し、Google や Facebook の認証情報を自発的に使用して登録した。
• 登録をスキップした参加者はわずか14.5%にとどまり、認証情報共有に対する抵抗感が低いことが示された。
• Facebook認証情報を使用した参加者は、クイシング認識尺度（QAS）で最低得点を記録し、認識が低いことが判明した。
• 登録をスキップした参加者はQASで最高得点を記録しており、クイシングリスクに対する認識がより高いことが示された。
• QRコード行動と登録選択肢の間に有意な相関関係が確認され、QASが信頼性のある測定手段であることが裏付けられた。
• 時間コストと使いやすさを考慮したセキュリティインジケータは、従来の警告メカニズムよりも、クイシング文脈において効果的であることが判明した。