如今，由于越来越多企业的员工接受过安全意识培训。不会再轻易点击邮件中的可疑链接。所以，网络钓鱼攻击者又开创了新的方法：二维码钓鱼邮件。

近日，国外某安全公司的研究人员发现，网络钓鱼攻击者开始发送大量包含二维码图片的钓鱼邮件，这些电子邮件将二维码嵌入邮件正文，以成功绕过安全保护，并可针对目标进行某种程度的定制，从而更容易欺骗收件人。

不过注意，二维码本身只是一种编码方式，它可以表示一些文本、链接或其他信息。但二维码本身并不能直接隐藏钓鱼邮件或其他恶意信息。

然而，黑客或恶意人士可以利用二维码来欺骗用户，并尝试诱使他们访问恶意链接、下载恶意软件或泄露个人信息。

这种操作就被称为"二维码钓鱼"。

 

在很多情况下，不打分子会通过收件人工作的企业内部被盗电子邮件账户传播二维码，因为这种来自内部（可信）邮件地址的钓鱼邮件让攻击的成功率变大。

而这类二维码钓鱼邮件的主题大多是要求员工解决安全问题。

 

例如缺少双因素身份验证注册或更改密码，并警告如果收件人如果没有及时操作，就会产生后果。因此那些上当受骗的员工就会用手机扫描邮件中的二维码并被引导至一个伪装成该公司合法站点的钓鱼网站，用户在钓鱼网站输入的账户密码会被发送给攻击者。

此类二维码钓鱼邮件多为“喷射攻击”，攻击者会将邮件发送给尽可能多的目标用户，以期待提高攻击成功率。

喷射攻击（Jetstreaming Attack）主要是利用被攻陷的网站或应用程序上的漏洞，来绕过网络安全措施，将恶意代码注入到网页中，然后将该恶意代码传递给访问者的浏览器。

喷射攻击通常发生在网站或应用程序的输入验证过程中存在缺陷的情况下。攻击者通常通过提供特定的恶意输入或利用不当处理用户输入的漏洞来注入恶意代码。一旦恶意代码成功注入到网页中，用户在访问这个被攻击的网站时，浏览器会自动执行该代码。这可能导致用户的浏览器被入侵者控制、个人信息被窃取、系统被感染或其他恶意行为。

 

那么，我们工作中要如何防范二维码钓鱼呢。

1、请格外警惕含有二维码的电子邮件

2、通过其它渠道（即通过电子邮件以外的渠道）与发件人核实，确认消息是否真实

3、小心检查发件人地址，确保电子邮件来自其声称的地址

4、单击电子邮件正文，查看是否可以复制和粘贴文本。如果没有可复制的文本，需要格外警惕

5. 使用安全扫描工具：你可以使用安全扫描工具或防病毒软件来检查二维码中的链接是否安全。

6、 不透露个人信息：避免通过扫描二维码提供个人敏感信息，包括网银用户名、登录密码、银行卡号、身份证号、银行预留手机号、取款密码及手机动态码等；遇到需要提供这些敏感信息的地方，务必小心谨慎，勿向他人泄漏。