[논문 리뷰] Gone Quishing: A Field Study of Phishing with Malicious QR Codes

Filipo Sharevski, Amy Devine외 2명|arXiv (Cornell University)|2022. 04. 08.

Spam and Phishing Detection인용 수 8

한 줄 요약

이 현장 연구는 코로나19 디지털 여권 등록을 가짜로 시뮬레이션하면서 악성 QR 코드를 포함한 '퀴싱(quishing)'—악성 QR 코드를 통한 피싱 공격—을 조사한다. 연구 결과, 편의성 때문에 67%의 참가자가 구글 또는 페이스북 계정 정보를 자발적으로 공유했으며, 퀴싱에 대한 인식 수준이 낮은 것으로 드러났다. 또한 사용자 보호를 향상시키기 위해 '퀴싱 인식 척도(QAS)'와 사용자 친화적인 보안 경고 기준을 제안한다.

ABSTRACT

The COVID-19 pandemic enabled "quishing", or phishing with malicious QR codes, as they became a convenient go-between for sharing URLs, including malicious ones. To explore the quishing phenomenon, we conducted a 173-participant study where we used a COVID-19 digital passport sign-up trial with a malicious QR code as a pretext. We found that 67 % of the participants were happy to sign-up with their Google or Facebook credentials, 18.5% to create a new account, and only 14.5% to skip on the sign-up. Convenience was the single most cited factor for the willingness to yield participants' credentials. Reluctance of linking personal accounts with new services was the reason for creating a new account or skipping the registration. We also developed a Quishing Awareness Scale (QAS) and found a significant relationship between participants' QR code behavior and their sign-up choices: the ones choosing to sign-up with Facebook scored the lowest while the one choosing to skip the highest on average. We used our results to propose quishing awareness training guidelines and develop and test usable security indicators for warning users about the threat of quishing.

연구 동기 및 목표

• 코로나19 패an드믹 기간 동안 실제 환경에서 사용자가 퀴싱 공격에 얼마나 취약한지 조사하기 위해.
• 사용자가 QR 코드를 통해 자격 증명을 공유하는 데 있어 편의성과 신뢰가 어떤 역할을 하는지 평가하기 위해.
• 개인의 퀴싱 취약도 차이를 측정할 수 있는 '퀴싱 인식 척도(QAS)'를 개발하고 검증하기 위해.
• 사용성에 영향을 주지 않으면서도 퀴싱 위협을 경고할 수 있는 사용자 친화적인 보안 지표를 설계하고 테스트하기 위해.
• 실증적 결과를 바탕으로 실질적인 퀴싱 인식 교육 가이드라인을 제공하기 위해.

제안 방법

• 173명의 참가자를 대상으로 실제 코로나19 디지털 여권 등록을 배경으로 한 현장 연구를 수행했다.
• 미국 질병통제예방센터(CDC) 승인을 받은 포스터에 악성 QR 코드를 내장하여 정상적인 백신 등록 절차를 시뮬레이션했다.
• 참가자의 등록 선택 사항을 측정: 페이스북/구글 자격 증명 사용, 새 계정 생성, 등록 건너뛰기.
• 행동 패턴을 기반으로 퀴싱 인식 척도(QAS)를 개발하고 신뢰도를 검증했다.
• 모바일 기기용 프로토타입 보안 지표를 설계하고 테스트하여 잠재적 퀴싱 위험을 경고하도록 했다.
• 보안 경고의 시간 비용-편익 트레이드오프를 분석하고, 후속 설문 조사에서 사용자 선호도를 평가했다.

실험 결과

연구 질문

• RQ1 편의성이 보안보다 우선시될 경우 사용자는 퀴싱 공격에 얼마나 취약한가?
• RQ2 사용자가 QR 코드를 통해 자격 증명을 공유하는 데 영향을 주는 요인은 편의성, 신뢰, 또는 인식 중 무엇인가?
• RQ3 사용자의 퀴싱 인식 수준과 등록 행동 간에 측정 가능한 상관관계가 존재하는가?
• RQ4 사용자 친화적인 보안 지표는 사용성의 손상을 초래하지 않으면서도 퀴싱 위협을 효과적으로 경고할 수 있는가?
• RQ5 실증적 행동 데이터를 바탕으로 퀴싱 인식 교육을 어떻게 설계할 수 있는가?

주요 결과

• 67%의 참가자가 편의성보다 보안을 우선시하며 구글 또는 페이스북 자격 증명을 자발적으로 사용했다.
• 참가자의 14.5%만이 등록을 건너뛰었으며, 이는 자격 증명 공유에 대한 저항 수준이 낮음을 시사한다.
• 페이스북 자격 증명을 사용한 참가자는 '퀴싱 인식 척도(QAS)'에서 가장 낮은 점수를 받았으며, 이는 낮은 인식 수준을 의미한다.
• 등록을 건너뛴 참가자는 QAS에서 가장 높은 점수를 받았으며, 이는 퀴싱 위험에 대해 더 높은 인식이 있음을 시사한다.
• QR 코드 행동과 등록 선택 간에 유의미한 상관관계가 발견되어 QAS가 신뢰할 수 있는 측정 도구로 검증되었다.
• 시간 비용과 사용성 요소를 고려한 보안 지표는 전통적인 경고 방식보다 퀴싱 환경에서 더 효과적이다.