Cómo evitar las estafas de código QR
Los ciberdelincuentes estudian todos los canales de comunicación o mensajería existentes en busca de vías para encontrar nuevas víctimas. Una constante que también se aplica a otras tecnologías como la de los código QR (siglas de quick response o respuesta rápida en inglés) que en los últimos años han vuelto a estar en el punto de mira de los hackers. El resurgimiento de los código QR y el peligro del “Quishing“ En 2023, por ejemplo, una estafa con QR afectó a una importante empresa energética estadounidense y los expertos en ciberseguridad advierten de que estos ataques -denominados como quishing– están experimentando un repunte. En realidad, quishing es una combinación de los términos QR y ‘phishing‘, en la que actores maliciosos intentan pescar (fishing significa pesca en inglés) información privada y datos personales de un usuario. La utilidad y vulnerabilidad de los códigos QR Desde la pandemia, los códigos QR conocen un importante renacimiento y prácticamente todo el mundo se ha familiarizado con ellos. Se trata de una evolución del tradicional código de barras; una imagen de cuadrados en blanco y negro que actúan como una especie de jeroglífico que es traducido automáticamente al pasar por el escáner de tu teléfono u otro dispositivo. La mayoría de las veces, los códigos QR conducen a una URL de sitios web, pero también pueden hacer aparecer un mensaje de texto sin formato, o listados de aplicaciones, direcciones de mapas, etc. Lea también: Expertos en ciberseguridad identifican aumento del 587% en los ataques ‘quishing’ con códigos QR Es en esa etapa final del proceso dónde pueden aparecer las amenazas: códigos QR que llevan al usuario a webs fraudulentas sin que éste se dé cuenta. Al escanear un código QR suele aparecer escrita una URL que puedes seguir. Pero, habitualmente, es complicado reconocer a simple vista hasta qué punto es segura esa dirección web. Y los objetivos de esos sitios creados por los hackers son los habituales en los delitos telemáticos: conseguir que descargues malware, algo que comprometa la seguridad de tus cuentas o dispositivos o que introduzcas unas credenciales de inicio de sesión. Precauciones de seguridad La buena noticia es que las prácticas de seguridad básicas, que todo el mundo debería tener implantadas, deben servir para mantenerte protegido de esta amenaza. Al igual que con los correos electrónicos o los mensajes instantáneos, no debes confiar en los códigos QR si no estás seguro de su procedencia, ya sea porque están adjuntos a correos electrónicos sospechosos o a sitios web que no puedes verificar. Por lo general, las estafas intentan transmitir una sensación de urgencia y alarma para que el usuario actúe: mensajes del tipo “escanee este código QR para verificar su identidad o evitar la eliminación de su cuenta” o “aprovecha una oferta de tiempo limitado” Protegiendo tus cuentas digitales Tus cuentas digitales deben estar lo más protegidas posible, de modo que si en algún momento eres víctima de una estafa de código QR, dispongas de protecciones adecuadas: activa la autenticación de doble factor en todas las plataformas que la ofrezcan, asegúrate de que tus datos personales están actualizados (como direcciones de correo electrónico y números de teléfono de reserva que puedan utilizarse para recuperar tus cuentas) y cierra la sesión de los dispositivos que ya no utilices (también deberías eliminar las cuentas antiguas que ya no necesites). Mantenimiento del software y navegación segura Por último, asegúrate de mantener actualizado el software. Las últimas versiones de los navegadores móviles más populares incorporan tecnología para detectar enlaces fraudulentos. Aunque estas protecciones integradas no son infalibles, cuanto más actualizados estén tu navegador y el sistema operativo de tu móvil, más probabilidades tendrás de recibir una advertencia en pantalla si estás a punto de visitar un lugar no seguro en la Red. FUENTE: »Cómo evitar las estafas de código QR» Pandasecurity.com. 19/02/2024. (https://www.pandasecurity.com/es/mediacenter/como-evitar-estafas-de-codigo-qr/).
Expertos en ciberseguridad identifican aumento del 587% en los ataques ‘quishing’ con códigos QR
Un grupo de expertos en ciberseguridad ha observado un crecimiento del 587 por ciento de ataques ‘quishing’ a través del escaneo de códigos QR, lo que puede conducir a páginas de obtención de credenciales para posteriormente utilizarlos con distintos fines, como puede ser el robo de datos. Las estafas de ‘phishing’ a través de códigos QR, también conocidas como ‘quishing’, utilizan estos códigos para compartir un enlace malicioso sin que el usuario se dé cuenta. Así, se trata de una técnica que va acompañada de ingeniería social para suplantar la identidad de compañías u organismos públicos. En este sentido, un grupo de investigadores del grupo Check Point Research, perteneciente a la compañía proveedora de sistemas de ciberseguridad Check Point, ha advertido del peligro de los ataques ‘quishing’, que han crecido un 587 por ciento entre agosto y septiembre. En el día a día, los usuarios utilizan los códigos QR para diversas acciones, desde ver las opciones de un menú en un restaurante hasta inscribirse en actividades o para acceder a un servicio. De hecho, según el estudio ‘Mobile & Conectividad inteligente’, elaborado por la asociación de comunicación IAB Spain en el año 2021, más del 82,2 por ciento de los usuarios encuestados en España afirmaron que habían utilizado en alguna ocasión códigos QR. Frente a ello, tan solo un 2 por ciento indicaron desconocer qué son estos códigos. Es decir, la mayoría de los ciudadanos españoles utilizan los códigos QR y, por tanto, son susceptibles a sufrir un ataque de ‘quishing’. En este sentido, tal y como han explicado los investigadores de Check Point, aunque a primera vista los códigos QR parecen un sistema «inofensivo», se trata de una «excelente forma de ocultar intenciones maliciosas», ya que son utilizados por ciberdelincuentes para ocultar un enlace fraudulento. ¿Cómo se gestan estos ataques? Un ejemplo de estos ataques, tal y como ha mostrado Check Point en un comunicado, es el envío de códigos QR a través de correos electrónicos. En concreto, en el ataque compartido por los investigadores, se utiliza como señuelo un ‘email’ en el que se informa de que la autenticación multifactor (MFA) de Microsoft está a punto de caducar y anima al usuario a volver a autenticarse. En este caso, los actores maliciosos introducen un código QR en el correo con un enlace fraudulento que conduce a una página de obtención de credenciales. Una vez el usuario haya escaneado dicho código QR, se abre una página de imitación a la página legítima de credenciales de Microsoft y, aunque su apariencia es similar, en realidad sirve para el robo de credenciales. Podría interesarle: Los datos privados de la salud están en manos de Google, Microsoft y Meta Según los expertos en ciberseguridad, es «muy fácil» crear un código QR, ya que existen multitud de páginas gratuitas que lo suelen generar de forma automática. De esta forma, los ciberdelincuentes pueden incluir cualquier enlace malicioso. Asimismo, en el ejemplo mostrado, también se ha de observar que, aunque el asunto indica que se trata de Microsoft, la dirección del remitente es distinta. ¿Cómo protegerse del Quishing? Con todo ello, desde Check Point han compartido algunas recomendaciones para combatir el ‘quishing’. Una de ellas es implementar un sistema de seguridad en el correo electrónico que utilice el reconocimiento óptico de caracteres (OCR) para identificar todos los posibles ataques. Asimismo, los usuarios pueden aplicar un sistema que utilice inteligencia artificial, aprendizaje automático y procesamiento del lenguaje natural, para comprender la intención de los mensajes y detectar cuándo ‘email’ puede «utilizar un lenguaje de suplantación de identidad». Tal y como ha explicado el director técnico de Check Point Software para España y Portugal, Eusebio Nieva, los métodos que han utilizado los investigadores para descubrir este tipo de ataques se basan en utilizar el analizador de códigos QR de su motor OCR. De esta forma, se consigue identificar el código y recuperar la URL sin abrirla, ya que el motor OCR pasa la imagen del código QR a texto. Tras ello, se analiza la URL para verificar si se trata de un sitio web ilegítimo utilizando el NLP, que es capaz de identificar el lenguaje sospechoso y marcarlo como ‘phishing’. «Los ciberdelincuentes siempre prueban nuevas tácticas y otras veces recuperan métodos antiguos. En ocasiones, se apropian de elementos legítimos como los códigos QR», ha sentenciado Nieva, al tiempo que ha detallado que la existencia de un código QR en el cuerpo del mensaje de correo electrónico «es un indicador de un ataque». FUENTE: Europa Press. »Expertos en ciberseguridad identifican aumento del 587% en los ataques ‘phishing’ con códigos QR» Listindiario.com. 28/10/2023. (https://listindiario.com/la-vida/tecnologia/20231028/investigadores-expertos-ciberseguridad-identifican-aumento-587-ataques-phishing-codigos-qr_780375.html).
