El Instituto Nacional de Ciberseguridad (INCIBE) de España define el Qrishing como una técnica que usa la ingeniería social para lograr que los usuarios proporcionen sus credenciales mediante el escaneo de un código QR.
Al escanear, el usuario es dirigido a un sitio web falso, donde piden las credenciales o información sensible para usar esos datos con propósitos maliciosos. Esto demuestra que el phishing se sigue reinventando.
Ya se han reportados casos en todas partes de mundo. En enero de 2022, delincuentes colocaron falsos códigos QR en parquímetros de Texas y otras ciudades de Estados Unidos para robar datos de pago de las víctimas.
Digi-evolución de los QR y el phishing = QRishing
Desde inicio de la pandemia, el auge del código QR ha sido notable. QR sale del inglés ‘Quick Response’ o de respuesta rápida.
Es un código de barras mejorado que incluye un enlace a un contenido alojado en internet.
Tienen forma cuadrada y pueden ser leídos por la mayoría de los ‘smartphones’ y dispositivos móviles. Para hacerlo, se enfoca al código con la cámara y tanto con una aplicación de lectura de códigos QR, o en ocasiones incluso sin ella, se escanea y se accede a la información.
El phishing, por su parte, se refiere al envío de correos electrónicos que tienen la apariencia de proceder de fuentes de confianza pero que en realidad pretenden manipular al receptor para robar información confidencial.
La combinación de estos puede impactar a los usuarios menos precavidos. Al escanear los códigos, las personas terminan descargando un malware o recibe un ataque drive by download. Estos últimos se caracteriza por la descarga de manera forzada de software malicioso cuando el usuario visita el sitio web.
Estos están diseñados para explotar las vulnerabilidades presentes en el dispositivo a nivel de software (sistema operativo, navegador u otro tipo) pudiendo realizar múltiples acciones maliciosas, como filtrar la información confidencial, suscribirse a servicios premium o visualizar anuncios de forma silenciosa sin que el usuario lo sepa, obtener acceso a diferentes elementos del dispositivo (micrófono, cámara…), acceder a los datos del navegador o enviar correos electrónicos.
Todas estas acciones ocurren en segundo plano, por lo que los usuarios no son conscientes de estos comportamientos.
Es hora de estar alertas
Está claro que no todos los QR son “buenos”, entre las recomendaciones y buenas prácticas para evitar ser víctimas de dichos ataques destacan:
- Desactivar la opción de abrir automáticamente los enlaces al escanear un código QR.
- Usar aplicaciones de escaneo que permitan ver a qué URL dirige ese código antes de abrirlo.
- No escanear códigos QR de dudosa procedencia: verificar la identidad del autor (persona o entidad), confirmar que es quien dice ser.
- En caso de realizar pagos o transacciones financieras con QR, comprobar que la operación se haya realizado según lo esperado para comprador y vendedor.
- Si el código QR está físico, antes de escanearlo, comprobar que no haya sido manipulado, que no tenga un adhesivo u otro elemento pegados sobre el código real.
- En caso de gestionar un negocio, comprobar periódicamente que los códigos QR que se utilizan no hayan sido falseados.
- Si el código QR lleva a una página en la que se pide información personal, especialmente contraseñas o datos relacionados con formas de pago, es importante parar a pensar un momento si el contexto lo requiere.
Los cajeros automáticos elevan la inclusión y la bancarización
Reconocer, reportar y prevenir el phishing