Nueva modalidad de estafa con códigos QR: el quishing

Muchas de las estafas por medios digitales que conocemos comienzan con un engaño. Ya sea con un link, una página web apócrifa o una llamada telefónica que simula ser de una institución reconocida.

La que más recientemente se ha difundido el llamado «quishing», que consiste en utilizar un código QR que derive a un sitio con malware, o que descargue un archivo o aplicación maliciosos en el celular.

Desde la empresa especializada en ciberseguriad Check Point advierten que este año han detectado un notable incremento de ataques de phishing con códigos QR destinados a robar datos sensibles de los usuarios.

Cómo comenzó

Todas las formas de ataque evolucionan y el phishing de código QR no es diferente. Sin embargo, es único que la evolución se haya producido tan rápidamente. Comenzó con códigos de verificación de doble factor estándar; eran bastante sencillos y pedían a los usuarios que escanearan un código, ya fuera para restablecer la autenticación de doble factor o incluso para consultar datos financieros.

La segunda variante, QR Code Phishing 2.0, eran ataques de routing. El enlace busca dónde está interactuando el usuario con él y se ajusta. Si el internauta está en un Mac, aparece un enlace, si por el contrario cuenta con un teléfono Android, aparece otro. También se han detectado campañas de códigos QR personalizados, en las que los ciberdelincuentes introducen el logotipo de la empresa y el nombre de usuario correcto de forma dinámica.

Ahora, estamos viendo el Código QR 3.0, que es la representación de uno basada en texto. Esto hace que sea extremadamente difícil para los sistemas de reconocimiento de caracteres verlo y detectarlo.

Prevención

La prevención recomendada es no escanear códigos QR en la vía pública o de ser necesario verificar que no se haya pegado una calcomanía sobre el código original. Si el código llega por mail, verificar el remitente y descartarlo inmediatamente si no es conocido o se sospecha de sustitución de identidad.