En la era digital actual, los códigos QR se han convertido en una herramienta comúnmente utilizada, tanto en el mundo empresarial como en la vida cotidiana.
Desde menús de restaurantes hasta pagos móviles, los códigos QR parecen ser una solución conveniente y moderna. Sin embargo, al igual que muchas tecnologías, también pueden ser utilizados para fines maliciosos. En este caso, hablamos del QRishing, un tipo de ataque cibernético que utiliza códigos QR para robar información personal y financiera de las víctimas.
¿Qué es el QRishing?
El QRishing es una forma de phishing que emplea códigos QR maliciosos. Un ataque de QRishing ocurre cuando un delincuente genera un código QR que redirige a la víctima a una página web falsa, diseñada para robar datos sensibles como contraseñas, información bancaria, o detalles personales. Al igual que el phishing tradicional, el objetivo es engañar al usuario para que revele información confidencial sin sospechar nada.
¿Cómo Funciona un Ataque de QRishing?
- Creación del código QR malicioso: El atacante crea un código QR que, en apariencia, parece legítimo. Este código puede redirigir a la víctima a una página web falsa, donde se solicita información confidencial, o incluso instalar malware en su dispositivo móvil.
Distribución del código QR: Los delincuentes colocan estos códigos QR en lugares visibles donde las personas los escaneen sin cuestionarlo. Esto puede incluir carteles, anuncios, correos electrónicos, o incluso menús de restaurantes.
Escaneo del código QR: Una vez que la víctima escanea el código QR con su teléfono móvil, este la redirige a un sitio web malicioso. Este sitio podría parecer legítimo, como una página de inicio de sesión de un banco o de una tienda en línea popular, pero es una copia fraudulenta creada para robar información.
Recopilación de información: Al ingresar datos en el sitio falso (como nombre, contraseña o detalles bancarios), la información es capturada por los atacantes.
Uso de los datos robados: Los delincuentes pueden usar esta información para realizar fraudes, robar dinero, o venderla en el mercado negro.
Ejemplos de Ataques de QRishing
1. Menús de Restaurantes Falsos
Durante la pandemia de COVID-19, muchos restaurantes comenzaron a utilizar códigos QR para ofrecer menús digitales y evitar el contacto físico. Sin embargo, los atacantes aprovecharon esta tendencia. Un ejemplo clásico de QRishing es cuando un atacante coloca un código QR en la mesa de un restaurante que, al ser escaneado, redirige a un sitio web fraudulento que imita un menú legítimo.
El sitio falso podría solicitar que el cliente ingrese su información de pago o incluso sus datos bancarios para completar una «compra» de comida o bebida, pero en realidad, los datos serán robados. En este caso, el atacante usa un código QR que aparentemente ofrece una conveniencia, pero en realidad es un fraude.
2. Correos Electrónicos con Códigos QR Maliciosos
Otro ejemplo de QRishing ocurre a través de correos electrónicos de phishing. Un correo electrónico podría pretender ser de una entidad confiable, como un banco o una tienda en línea, solicitando al usuario escanear un código QR para confirmar una transacción, verificar una cuenta o incluso para ganar un premio.
Al escanear el código, el usuario es llevado a un sitio web falso que solicita sus credenciales de inicio de sesión o detalles de tarjeta de crédito. Como el ataque se realiza mediante un código QR, el usuario puede no notar que la página es falsa hasta que ya ha proporcionado información confidencial.
3. Anuncios en la Vía Pública o Folletos
En algunos casos, los atacantes colocan códigos QR en anuncios o folletos distribuidos en la vía pública, como en estaciones de metro o en centros comerciales. Estos códigos, al ser escaneados, pueden redirigir a un sitio web de phishing o incluso iniciar la descarga de malware en el dispositivo del usuario.
Lugares Comunes Donde Encontrar Códigos QR Maliciosos
- Menús en Restaurantes: Como mencionamos, los menús de restaurantes son uno de los lugares más comunes donde se pueden encontrar códigos QR maliciosos. Esto se debe a que los restaurantes los utilizan para facilitar pedidos y pagos sin contacto. Sin embargo, un código QR colocado en una mesa o en la pared de un restaurante puede llevar a un sitio web falso que robe datos personales o financieros.
-
Estaciones de Transporte Público: En algunas estaciones de metro o autobús, los atacantes pueden colocar códigos QR en los carteles de información, en los que se ofrece acceso a «ofertas exclusivas» o a «información sobre el transporte». Al escanear el código, los usuarios pueden ser redirigidos a sitios web fraudulentos.
-
Publicidad en la Vía Pública: Los anuncios en paradas de autobuses, marquesinas de cines, o incluso vallas publicitarias pueden incluir códigos QR. Estos códigos pueden ser reemplazados por versiones maliciosas para engañar a las personas y llevarlas a sitios de phishing.
-
Correo Electrónico y Mensajes de Texto (SMS): Los atacantes también pueden enviar códigos QR en correos electrónicos de phishing o mensajes de texto, solicitando que el usuario los escanee para recibir información adicional o para «verificar» una cuenta.
¿Cómo Protegerse del QRishing?
-
Verificar la Fuente del Código QR: Siempre asegúrate de que el código QR provenga de una fuente confiable. Si lo ves en un lugar público o desconocido, ten precaución antes de escanearlo.
-
Usar una App de Seguridad: Muchas aplicaciones de seguridad en teléfonos móviles incluyen funciones que pueden detectar códigos QR maliciosos. Asegúrate de tener una app de seguridad activa en tu dispositivo.
-
No Ingresar Información Sensible: Si al escanear un código QR te lleva a una página web que solicita información sensible, como contraseñas o números de tarjeta de crédito, no ingreses nada sin antes verificar que el sitio sea legítimo.
-
Revisar las URL: Si el código QR te lleva a un sitio web, asegúrate de que la URL sea auténtica y segura. Busca «https://» en lugar de «http://», y revisa cualquier error ortográfico en la dirección web.
-
Mantener el Software Actualizado: Asegúrate de que tanto tu dispositivo como las aplicaciones estén siempre actualizadas. Las actualizaciones de seguridad pueden proteger tu dispositivo de amenazas cibernéticas.
A tener en cuenta
El QRishing es una amenaza creciente en el mundo digital, y aunque los códigos QR son herramientas convenientes y útiles, es importante ser consciente de los riesgos que presentan. La clave para evitar caer en estos ataques es la precaución: no escanear códigos QR de fuentes no confiables y verificar siempre la autenticidad del sitio web al que te redirige. Al mantener estas prácticas de seguridad, puedes proteger tus datos personales y financieros de los ciberdelincuentes que intentan aprovecharse de esta tecnología.
