Специалисты компании «Гарда» выявили уязвимость в механизмах QR-авторизации, используемых в цифровых сервисах. Ошибка позволяет злоумышленникам получать доступ к чужим аккаунтам без необходимости кражи паролей.
Схема атаки заключается в том, что злоумышленник генерирует QR-код для входа, извлекает из него диплинк и отправляет его жертве. При переходе по ссылке на устройстве пользователя открывается официальное приложение с запросом на подтверждение авторизации.
После нажатия кнопки подтверждения атакующий получает доступ к данным пользователя. Старший аналитик «Гарды» Егор Боровинских отмечает, что распознать мошенничество сложно, так как в запросах часто не указаны данные о месте и устройстве входа.
Для защиты эксперты рекомендуют использовать только встроенные сканеры QR-кодов и исключить возможность ручного открытия подобных ссылок. Также пользователям советуют не подтверждать подозрительные запросы на вход, даже если они приходят через официальные приложения.