¿Qué es el quishing (phishing de código QR)? Piense antes de escanear
El quishing es el nuevo phishing. Una táctica engañosa que combina códigos QR con phishing. Este tipo de phishing, también conocido como phishing con código QR, aprovecha el uso generalizado de los códigos QR para diversos fines. Hoy profundizaremos en qué es el quishing, cómo funciona y, lo que es más importante, cómo puedes hacer conciencia y defenderte tu y tu organización.
Los códigos QR se utilizan en todas partes
Los códigos QR son una parte integral de la vida moderna, se utilizan en diversas industrias y aplicaciones por su conveniencia y eficiencia. Desde pagos sin contacto hasta campañas de marketing, pasando por la venta de entradas para eventos y los menús de restaurantes, los códigos QR ofrecen una forma sencilla de acceder a la información o realizar transacciones con un simple escaneo con la cámara de su smartphone. Sin embargo, esta adopción generalizada también presenta una oportunidad para que los ciberdelincuentes exploten la confianza inherente depositada en los códigos QR con fines maliciosos.
¿Qué es el Quishing?
El quishing, derivado de los códigos «QR» (Quick Response) y «phishing«, se refiere a una forma sofisticada de ataque cibernético que explota la confianza asociada con los códigos QR para engañar a las personas para que revelen información confidencial o realicen acciones maliciosas. Los ciberdelincuentes crean códigos QR engañosos que llevan a las víctimas desprevenidas a sitios web maliciosos o inician actividades dañinas.
¿Cómo funciona el quishing?
El quishing suele funcionar robando tus datos o haciéndote descargar contenido malicioso. Normalmente, el quishing sigue una secuencia como esta:
- Creación de códigos QR engañosos: Los ciberdelincuentes diseñan meticulosamente códigos QR que imitan de cerca a los legítimos, haciéndolos prácticamente indistinguibles para los usuarios desprevenidos.
- Tácticas de ingeniería social: Empleando diversas técnicas de ingeniería social, los atacantes atraen a las víctimas para que escaneen los códigos QR maliciosos. Esto podría implicar ofertas atractivas, alertas urgentes u otros escenarios persuasivos.
- Redireccionar a contenido malicioso: Al escanear, la víctima es redirigida a un sitio web fraudulento o a una página de destino que se hace pasar por legítima. Esto puede incluir portales de inicio de sesión falsos, formularios de phishing o sitios diseñados para distribuir malware.
- Recolección de datos: Una vez en el sitio malicioso, las víctimas desprevenidas pueden dar involuntariamente información confidencial, como credenciales de inicio de sesión o datos personales, que luego son recopilados por los ciberdelincuentes con fines maliciosos.
Diferentes tipos de ataques de quishing
Estos son algunos de los ataques típicos que se realizan con el phishing de códigos QR
- Verificación de la recolección de credenciales: se dirige a las credenciales de los usuarios llevando a las víctimas a páginas de inicio de sesión falsificadas, con el objetivo de robar información confidencial.
- Quishing de distribución de malware: Inicia la descarga de malware en el dispositivo de la víctima al escanear el código QR, lo que puede comprometer la seguridad e integridad del dispositivo.
- Recopilación de información: engaña a los usuarios para que proporcionen información confidencial a través de formularios engañosos en sitios web maliciosos, que pueden ser explotados para diversas actividades maliciosas.
¿Qué se puede hacer contra el phishing con código QR?
Aquí hay algunos consejos para protegerse contra el phishing con código QR:
1. Desactive la opción de abrir automáticamente los enlaces al escanear un código QR. Esto le dará la oportunidad de revisar la URL antes de abrirla.
2. Use una aplicación de escaneo de códigos QR que permita ver a qué URL dirige ese código antes de abrirlo. De esta manera, puede verificar si la URL es legítima antes de acceder al contenido.
3. Si el código QR está en el mundo físico, por ejemplo, en el expositor de alguna tienda o impreso en un vaso, compruebe que no haya sido manipulado. Los estafadores pueden colocar una pegatina sobre el código real que lo dirige a un sitio web fraudulento.
4. No introduzca nunca sus datos personales o financieros en un sitio web al que haya accedido a través de un código QR. Si no está seguro de si un sitio web es legítimo, escriba la URL en su navegador web manualmente.
5. Mantenga actualizado su software antivirus y antimalware. Esto ayudará a proteger su dispositivo de malware que pueda descargarse de un sitio web fraudulento.
6. Sea consciente de las estafas comunes de phishing con código QR. Algunas estafas comunes incluyen:
- Códigos QR que supuestamente le dan acceso a un premio o regalo.
- Códigos QR que supuestamente le permiten descargar una aplicación o software.
- Códigos QR que supuestamente le permiten iniciar sesión en su cuenta bancaria u otra cuenta en línea.
Si cree que ha sido víctima de un ataque de phishing con código QR, debe cambiar inmediatamente sus contraseñas y ponerse en contacto con su banco u otra institución financiera.
Es crucial que los usuarios de móviles sean conscientes del peligro del phishing a través de códigos QR. Escanear un QR puede ser práctico pero riesgoso, ya que puede conllevar a fraudes y robo de datos personales. Se debe ser cauteloso y pensar antes de escanear QRs dudosos, y tomar medidas preventivas como no escanear códigos de fuentes dudosas, actualizar el software de seguridad y conocer las estrategias de los estafadores.
