近日，日本東海大學的研究人員開發出一種遠程篡改和替換二維碼的攻擊技術，能從最遠100米的距離使用不可見光激光照射二維碼，將其替換為偽造的二維碼。這種攻擊可以在任意時間點對二維碼進行照射，實現實時動態攻擊。非常隱蔽幾乎無法防范!

研究者在論文中透露，已經成功完成了在五米距離外利用激光照射對二維碼進行遠距離偽裝操作的概念驗證演示實驗。在2023年3月舉行的ICSS研究小組上，研究者還曾提出了一種動態偽裝二維碼，可以利用不可見激光照射隨時引導用戶前往惡意網站。

在論文中，研究者強調攻擊距離對評估二維碼遠程攻擊威脅級的重要性(越遠威脅越大)，并表示將研究如何增加激光照射距離，并使用專門配置的設備進行演示實驗，以證明在100米的距離上利用激光照射偽裝二維碼的可行性(下圖)研究者甚至還計劃進行更長距離(如1公里)的實驗，這對激光精度有著更高要求。

此外，研究者還將思考如何防范利用激光照射的遠程二維碼攻擊活動。

不同距離的實驗結果：

在10-40米的距離上，URL2(惡意網站)被成功讀取。但在50米和100米的距離上，URL1(正常網站)和URL2交替出現。

攻擊原理：

1、不可見光激光照射：攻擊者使用不可見光激光(如紅外線或其他波長的激光)直接照射到二維碼上。

2、修改二維碼：利用激光照射改變二維碼部分像素，從而改變二維碼編碼信息。這種改變對肉眼幾乎不可見，但可以被掃描設備識別。

3、引導至惡意網站：修改后的二維碼可將用戶引導至攻擊者指定的惡意網站或其他目的地，而不是原本的合法網站。

攻擊特點：

1、隱蔽性：由于使用不可見光激光，攻擊對普通用戶來說幾乎不可察覺。即使二維碼被修改，肉眼也難以分辨出任何變化。

2、遠距離操作：這種攻擊可以從遠距離(如100米甚至更遠)進行，增加了攻擊隱蔽性和靈活性。

3、動態操作：攻擊者可以實施動態攻擊，在任意時間點對二維碼進行照射。

4、影響因素：空氣波動可能對結果產生影響。實驗環境中的空調導致空氣擾動，使激光位置發生2-3毫米變動，從而影響了實驗結果。

5、難以防范：由于攻擊的隱蔽性，普通用戶和設備難以識別和防范這種攻擊。