Quishing: La trampa de los códigos QR que pone en riesgo tu seguridad digital

Imagen: Zdzisław Beksiński

Por Víctor Ruiz, fundador de SILIKN, Instructor Certificado en Ciberseguridad (CSCT™), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst y líder del Capítulo Querétaro de la Fundación OWASP.

En la actualidad, los ciberdelincuentes continúan desarrollando métodos ingeniosos para engañar a los usuarios y robar información sensible. Uno de los ataques más crecientes y preocupantes es el conocido como “quishing”, una forma de phishing que utiliza códigos QR maliciosos para comprometer la seguridad de los dispositivos, especialmente los smartphones. Este tipo de ataque está ganando terreno y representa un riesgo significativo para los usuarios desprevenidos.

¿Qué es el quishing?

El término “quishing” proviene de la combinación de “QR” y “phishing”. En este ataque, los delincuentes crean códigos QR falsos que, al ser escaneados por un smartphone, redirigen a los usuarios a sitios web fraudulentos. Estos sitios suelen estar diseñados para imitar páginas legítimas, como portales bancarios, plataformas de pago o servicios populares, con el objetivo de engañar a las víctimas para que ingresen sus credenciales, datos personales o incluso descarguen malware sin saberlo.

A diferencia del phishing tradicional, que a menudo llega a través de correos electrónicos o mensajes de texto con enlaces sospechosos, el quishing aprovecha la confianza que muchas personas tienen en los códigos QR. Estos códigos se han vuelto omnipresentes en la vida cotidiana, utilizados para acceder a menús en restaurantes, realizar pagos o verificar información, lo que los convierte en un blanco perfecto para los atacantes.

¿Cómo funciona este ataque?

El proceso es simple pero efectivo. Los ciberdelincuentes distribuyen códigos QR maliciosos a través de diversos medios, como correos electrónicos, redes sociales, carteles físicos en lugares públicos o incluso reemplazando códigos legítimos en sitios estratégicos. Una vez que el usuario escanea el código con su smartphone, es dirigido a una página web controlada por los atacantes. En algunos casos, la víctima ni siquiera necesita hacer clic en un enlace adicional; el simple acto de escanear el código puede iniciar la descarga de software malicioso.

Es importante mencionar que los sitios falsos suelen ser extremadamente convincentes, con diseños que replican logotipos, colores y tipografías de marcas conocidas. Esto aumenta la probabilidad de que los usuarios introduzcan información confidencial, como nombres de usuario, contraseñas o datos bancarios, sin sospechar que están siendo engañados.

¿Por qué es tan peligroso?

El quishing es particularmente alarmante porque explota la comodidad y la rapidez de los códigos QR, así como la falta de precaución de muchos usuarios. A diferencia de un enlace en un correo electrónico, que puede ser inspeccionado antes de hacer clic, los códigos QR no muestran su destino hasta que son escaneados, lo que dificulta identificar si son seguros. Además, los smartphones, al ser dispositivos personales que almacenan una gran cantidad de datos sensibles, son un objetivo jugoso para los atacantes.

Otro factor que agrava el problema es la dificultad para rastrear a los responsables. Los ciberdelincuentes pueden usar servidores temporales o técnicas de ofuscación para ocultar sus actividades, lo que complica las investigaciones y permite que los ataques se propaguen rápidamente.

¿Cómo protegerse del quishing?

Para evitar caer en esta trampa, la unidad de investigación de SILIKN ofrece algunas recomendaciones prácticas:

- Verifica la fuente: Antes de escanear un código QR, asegúrate de que provenga de una fuente confiable. Si lo encuentras en un correo no solicitado o en un lugar público sin contexto claro, evita usarlo.

- Revisa la URL: Muchos dispositivos muestran una vista previa del enlace al escanear un código QR. Si la dirección parece sospechosa (por ejemplo, tiene errores tipográficos o dominios extraños), no accedas.

- Usa aplicaciones seguras: Considera instalar un escáner de códigos QR con funciones de seguridad integradas que alerten sobre sitios maliciosos.

- Mantén tu dispositivo actualizado: Asegúrate de que tu smartphone tenga las últimas actualizaciones de seguridad para protegerte contra malware.

- Desconfía de las ofertas irresistibles: Los atacantes suelen usar promesas de descuentos o premios para atraer a las víctimas. Si algo parece demasiado bueno para ser verdad, probablemente sea una estafa.

El auge del quishing demuestra cómo los ciberdelincuentes adaptan sus tácticas a las tecnologías emergentes. A medida que los códigos QR se integran más en nuestra vida diaria, es fundamental que los usuarios estén atentos y adopten hábitos digitales seguros. La próxima vez que saques tu smartphone para escanear un código, recuerda que un simple gesto podría abrir la puerta a un ataque. La prevención y la educación son las mejores defensas contra esta creciente amenaza.

Para más información, visita: https://www.silikn.com/