QR + Phishing = La evolución de amenazas silenciosas
QR Phishing
La necesidad de simplificar procesos más las consecuencias post pandémicas de cero contacto ha permitido la evolución de amenazas silenciosas cada vez más comunes. Una de ellas es el “phishing” a través de códigos QR (QR Phishing), que implica el robo de información sensible a través de su escaneo.
Un código QR es una versión evolucionada de los códigos de barras, pero en forma cuadrada, que incluye un contenido alojado en Internet. Se accede a este a través de la cámara del dispositivo móvil o una aplicación de escaneo, que luego direcciona al usuario al enlace codificado.
Luego de la pandemia, el escaneo de estos códigos se hizo muy popular para leer menús de restaurantes, acceder a información o aplicaciones, descargar documentación, y realizar pagos sin contacto humano. Asimismo, algunos documentos como facturas, comprobantes médicos, certificados o entradas a eventos suelen llevar un código QR insertado, con el objetivo de facilitar la verificación de la información.
Además de su reciente popularidad para compartir perfiles de redes sociales como Instagram, LinkedIn, Telegram y Whatsapp, al mismo tiempo, que su implementación en diversas campañas publicitarias para simplificar la información contenida en ellas.
Este ataque aprovecha la confianza de los usuarios a la hora de escanear estos códigos para distribuir URLs o programas malignos a través de ellos. Allí usualmente solicitan información sensible con propósitos maliciosos como suplantación de identidad, secuestro de datos, robo de cuentas bancarias, o para la ejecución de software malicioso que conlleva a comprometer la reputación y la información tanto de usuarios corporativos como individuales.
Los ciberatacantes se aprovechan de la confianza que las personas han depositado en el escaneo de códigos QR, y así interceptar sigilosamente su privacidad.
Por esto, para protegerse contra esta modalidad como usuario final de dispositivos móviles, se recomienda:
- Desactivar la función de abrir automáticamente los enlaces al escanear los códigos QR
- Utilizar aplicaciones de escaneo que permitan visualizar las URL a que redirecciona el código antes de abrirlo.
- Evitar escanear códigos de origen desconocido.
- Si usas códigos para realizar pagos o transacciones bancarias, asegurar que la operación se haya completado correctamente.
- Si el código QR está en físico, verifica que no lo hayan alterado con pegatinas u otros elementos.
- Si tienes un negocio, verifica constantemente que tus códigos no estén modificados.
- Mantener tu dispositivo y aplicaciones actualizadas.
- Verificar el contexto antes de proporcionar información personal.
Sin embargo, esta problemática no solo representa un gran riesgo para estos usuarios, sino que, compromete directamente a los departamentos de mercadeo de las organizaciones. Puesto que, gracias a la facilidad de acceso que brindan estos códigos para la ejecución de campañas publicitarias tanto físicas como virtuales actualmente, su implementación podría acarrear riesgos tanto para la organización como para los clientes finales de esta.
De está manera para reforzar la protección de los datos y prevenir la posible superposición de códigos QR para fines no deseados, es fundamental:
- Verificar la fuente del código QR antes de incluirlo en las piezas gráficas de las campañas publicitarias.
- Educar a tu audiencia incluyendo instrucciones claras y concisas para escanear los códigos.
- Supervisa el rendimiento de tus códigos QR y actualiza el contenido según sea necesario.
- Implementa medidas de seguridad adicionales, como autenticación 2AF o códigos dinámicos que cambian con el tiempo.
- Incluye información sobre la seguridad de los códigos QR.
La ciberdelincuencia evoluciona al mismo ritmo que la tecnología avanza, y el uso de estos códigos si bien han agilizado variedad de procesos, también se han convertido en un atractivo para los ciberdelincuentes para ejecutar sus actividades maliciosas de una manera más discreta.
Por ende, es fundamental que los usuarios finales de dispositivos móviles y las organizaciones se mantengan informados y vigilantes frente a este tipo de problemática, con el fin de garantizar la protección de información sensible tanto corporativa como individual.
Porque recuerda que la ciberseguridad comienza desde que enciendes tu dispositivo móvil.