QR 코드는 이중입니다

Mary Blackowiak은 AT&T Cybersecurity의 엔드포인트 및 모바일 보안 포트폴리오에 대한 제품 관리 및 개발 이사입니다. 그녀는 Forcepoint, NSS Labs 및 Best Buy for Business에서의 직위를 포함하여 하이테크 분야에서 15년 이상의 B2B 마케팅 및 제품 관리 경험을 보유하고 있습니다.

개인화되고 관련성이 높으며 보다 즉각적인 의료 서비스를 제공하려는 과정에서 선택된 프로세스를 자동화하는 것은 과제를 해결하는 한 가지 방법입니다. 공급자와 환자 간의 데이터 교환을 간소화하면 진단이나 건강 교육에 대한 정보에 대한 액세스를 제공하는 등 훌륭한 응용 프로그램이 있습니다. 환자에게 이 정보를 안내하는 한 가지 방법은 QR 코드를 사용하는 것입니다(아이오와 남서부의 시골 의료 기관의 예 참조).

QR 코드는 일반적으로 스마트폰 카메라를 통해 온라인 정보에 빠르게 액세스하는 데 사용되는 2D 바코드입니다. QR 코드는 1994년 일본에서 자동차 부품 라벨링을 위해 개발되어 해당 프로세스에 속도와 정확성을 더했습니다. 오늘날 QR 코드는 제과류부터 레스토랑 메뉴, TV 광고, 포스터까지 모든 것에서 찾아볼 수 있습니다. 이는 생성하기 쉽고 사용자를 특정 웹 위치로 안내하여 관련 정보를 공유하거나 수집하도록 고안되었습니다.

QR 코드를 사용하여 정보에 액세스하는 것은 상대적으로 위험이 낮습니다. 환자는 의료 시나리오에 수동적으로 참여하는 경향이 있습니다. 그러나 데이터 수집을 위해 코드를 스캔한 후 환자는 약속을 예약하거나 사전 등록하기 위해 개인 정보를 요청받을 수 있습니다. 환자가 데이터 수집자와 개인 정보를 공유하는 이 시점에서 QR 코드 사용 위험은 매우 높아집니다. 환자는 데이터 수집자가 합법적인지 확인할 방법이 없습니다.

배너를 클릭하세요아래에서 제로 트러스트와 의료에 대한 이점을 살펴보세요.

이 사기의 작동 방식은 다음과 같습니다. QR 코드는 사용자를 합법적인 것처럼 보이는 가짜 웹사이트(신뢰할 수 있는 사이트와 충분히 유사한 중복된 로고 및 문구)로 리디렉션하는 복제본으로 대체됩니다. 환자가 도착하여 데이터 제공을 시작하면 악의적인 행위자가 이를 가로채게 됩니다. 2022년에는 이러한 스캔 사기가 전년도에 비해 7배 이상 증가했습니다.

가짜 QR 코드는 아웃바운드 이메일 캠페인에도 사용되어 환자가 개인 정보나 로그인 정보를 수집하기 위해 불법 사이트로 연결되는 QR 코드를 스캔하도록 유도합니다. 병력, 사회 보장 정보, 개인 식별 ID, 환자 포털에 대한 액세스 등과 같은 정보가 수집되어 잠재적으로 다크 웹에서 판매됩니다.

사이버 보안 측면에서 QR 코드는 전체 공격 표면의 일부로 간주됩니다. 걱정할 것이 한 가지 더 있습니다. 동시에 커뮤니케이션 담당 직원은 이를 사용하기를 원하며 환자에게 무해해 보이는 것을 신뢰하도록 요청하여 안전하지 않은 사이버 행동에 참여하도록 교육하고 있습니다. 실망스럽습니다. QR 코드는 효과적으로 사용될 때 실질적인 가치를 제공하지만 위험이 없지는 않습니다.

환자와의 간편한 참여와 의료 제공자가 정보를 쉽게 업데이트할 수 있는 능력 덕분에 원활하고 실시간에 가까운 경험이 가능해졌습니다. 보안 기능(예: Single Sign-On, 다단계 인증 등)을 사용하여 QR 코드를 생성할 수 있지만 모든 추가 단계로 인해 환자에게 중요한 정보를 안내하기 위해 QR 코드를 사용하는 단순성이 제거됩니다.

사이버 공격자는 코드의 양과 이에 의존하는 대상 사용자 기반이 결합되어 매력적인 대상을 제공하기 때문에 QR 코드를 손상시키려고 시도합니다. 의료 IT 팀의 임무는 사이버 공격자를 능가하고 사용된 QR 코드가 변조될 가능성을 줄이는 것입니다.

탐구하다:의료 분야에서 모바일 장치를 안전하게 유지하는 방법에 대한 팁입니다.

환자에게 올바른 사이버 보안 습관을 교육하여 사이버 공격자가 환자 데이터를 캡처할 기회를 줄입니다. 환자가 QR 코드와 상호 작용할 때 따라야 할 몇 가지 모범 사례는 다음과 같습니다.

QR 코드 작성자는 안전한 QR 코드 생성을 제공하고 의료 기관의 브랜드로 도메인을 사용자 정의할 수 있는 기능을 제공하는 회사를 활용하여 도움을 줄 수 있습니다. 조직에 대한 정책을 설정하고 팀의 모든 구성원이 승인된 코드를 받을 수 있는 위치를 알도록 합니다.