¿Qué es un código QR y cómo funciona?
Un código QR es un tipo de código de barras escaneable por dispositivos que está diseñado para ser leído e interpretado instantáneamente por un dispositivo digital (permiten una fácil descodificación con la cámara de un Smartphone).
Las cadenas de texto que se codifican en un código QR pueden contener diversos datos. La acción que se produce al leer un código QR depende de la aplicación que interactúa con dicho código, y los códigos pueden utilizarse para abrir un sitio web, descargar un archivo, añadir un contacto, conectarse a una red Wi-Fi e incluso realizar pagos, entre otras muchas acciones.
Sin embargo, esta versatilidad puede ser un arma de doble filo.
¿Qué es el QRishing? ¿Cómo se pueden explotar los códigos QR para hacer phishing?
El término QRishing deriva del phishing, la técnica de suplantación de identidad para estafas en Internet. En este caso el canal utilizado para suplantar la identidad es un código QR. El gran uso de estos códigos (y el potencial riesgo de un uso indebido) no pasa desapercibido para los estafadores, que lo pueden utilizar para:
- Redirigirte a un sitio web malicioso para robar información sensible
Los ataques de phishing no sólo se propagan mediante correos electrónicos, mensajes instantáneos o textos. Al igual que los atacantes pueden utilizar anuncios maliciosos y otras técnicas para dirigir a las víctimas a sitios fraudulentos, pueden hacer lo mismo con los códigos QR. - Descargar un archivo malicioso en tu dispositivo
Muchos bares y restaurantes utilizan códigos QR para que puedas descargar un menú en formato PDF o instalar una aplicación que te permite hacer un pedido. Los estafadores podrían manipular fácilmente el código QR para engañar al usuario y hacer que descargue un archivo PDF malicioso o una aplicación móvil fraudulenta. - Activar acciones en su dispositivo
Los códigos QR pueden desencadenar acciones directamente en tu dispositivo, y estas acciones dependen de la aplicación que los lee (de hecho, hay que tener cuidado con las aplicaciones falsas de escaneo de códigos de barras). Sin embargo, hay algunas acciones básicas que cualquier lector QR básico es capaz de interpretar. Entre ellas, conectar el dispositivo a una red Wi-Fi, enviar un correo electrónico o un mensaje SMS con un texto predefinido o guardar información de contacto en el dispositivo. Aunque estas acciones en sí mismas no tienen carácter malicioso, podrían utilizarse para hacer que un dispositivo se conectase a una red comprometida o enviar mensajes en nombre de la víctima. - Desviar un pago o hacer peticiones de dinero
Hoy en día, la mayoría de las aplicaciones financieras permiten realizar pagos a través de códigos QR que contienen datos del destinatario del dinero. Sin embargo, un atacante podría modificar este QR con sus propios datos y recibir pagos en su cuenta. También podría generar códigos con solicitudes de cobro de dinero para engañar a los compradores. - Robar la identidad del usuario o el acceso a una aplicación
Muchos códigos QR se utilizan como certificado para verificar la información de una persona, como su DNI o su pase de vacunación. En estos casos, los códigos QR pueden contener información tan sensible como la contenida en su DNI o historial médico, que un atacante podría obtener fácilmente escaneando el código QR. Sin ir más lejos, muchas aplicaciones, como WhatsApp, Telegram o Discord, utilizan en ocasiones códigos QR para autenticar las sesiones de los usuarios y así permitirles acceder a sus cuentas. Como ya ha ocurrido con WhatsApp, con ataques como el QRLjacking, los atacantes pueden engañar a un usuario suplantando la identidad del servicio y engañando al usuario para que escanee el QR proporcionado por el atacante.
Consejos para utilizar los códigos QR con seguridad y evitar el QRishing
- Antes de escanear un código QR, comprueba que no ha sido manipulado; por ejemplo, verifica que la pegatina del QR no tapa ninguna otra, como la original.
- Evita escanear códigos QR encontrados al azar o códigos en mensajes no solicitados.
- Ten cuidado al utilizar un código QR para pagar una factura o realizar otro tipo de transacción financiera y, si es posible, considera la posibilidad de utilizar otra opción de pago.
- Utiliza los códigos QR con la misma precaución que los enlaces o archivos adjuntos en correos electrónicos o aplicaciones de mensajería.
- Desactiva la opción de realizar acciones automáticas al escanear un código QR, como visitar un sitio web, descargar un archivo o conectarse a una red Wi-Fi.
- Después de escanearlo, mira la URL para comprobar que es legítima. Aun así, a menudo es mejor evitar introducir tus datos de acceso o información personal en un sitio al que has llegado a través de un código QR.
- No compartas códigos QR que contengan información sensible, como los utilizados para acceder a apps o los incluidos en documentos y certificados sanitarios.
- Cuando generes un código QR, utiliza un servicio de confianza. Dicho servicio también puede verificar que el QR es auténtico y seguro.
- Acuérdate de mantener tus aplicaciones actualizadas y de utilizar un software de seguridad.
Desde LISOT, como empresa de seguridad informática, podemos ayudarte a incrementar seguridad en la utilización de Internet desde los diferentes dispositivos de tu empresa para prevenir cualquier tipo de phishing.
