Los códigos QR están presentes en todas partes. Los puedes ver en un restaurante, junto al menú, por ejemplo. También en lugares turísticos, para aprender más sobre un monumento. Es tan fácil como escanear ese código con el móvil y podrás acceder a una web con más información. El problema es que, también, lo utilizan los piratas informáticos para lanzar campañas maliciosas. Nos hacemos eco de nuevas técnicas que han descubierto en lo que se conoce como Quishing.
Un grupo de investigadores de seguridad de Barracuda Networks publicaron el informe técnico de su descubrimiento el pasado 20 de agosto. En él, explicaban cómo funcionaban dos nuevas técnicas de Phishing descubiertas, en las que utilizaban códigos QR. Consisten en dividir esos códigos QR en dos partes o bien incrustarlos en códigos legítimos.
Nuevas técnicas de ataques con QR
En primer lugar, los investigadores de Barracuda Networks observaron cómo los operadores de Gabagool, un kit de Phishing de tipo Phaas (Phishing as a service), utilizaban algo novedoso para evitar la detección. Consiste en dividir un código QR. En un mensaje de correo electrónico, aparecen dos imágenes separadas e incrustadas en el mismo. Las soluciones de seguridad, al analizarlo, interpretan que hay dos imágenes inofensivas, en vez de un código QR completo.
Sin embargo, para el destinatario de ese correo electrónico, el QR aparece completo. Es posible escanearlo y, al hacerlo, la víctima es redirigida a una web falsa, creada para atacar. Pueden pedir iniciar sesión con las credenciales y robarlas. Si analizamos esa imagen en HTML, realmente aparece como dos diferentes. Por tanto, pueden eludir la protección.
Esta técnica la han estado utilizando en campañas dirigidas a robar credenciales de inicio de sesión en cuentas de Microsoft. Utilizaban una estafa que consistía en el restablecimiento de contraseña. Previamente, habían obtenido información de la víctima, por lo que esos mensajes eran más personales.
Otra técnica que han detectado, es la que se conoce como anidación de códigos QR. En este caso, descubrieron que otros operadores de un Phaas, Tycoon, utilizaban una técnica distinta para lograr eludir las medidas de seguridad. Consiste en incrustar un código QR malicioso dentro o alrededor de otro legítimo.
Desde Barracuda Networks, vieron un caso en el que un código QR externo apuntaba a una web maliciosa, pero el QR interno llevaba a Google. Cuando los escáneres de seguridad analizan esos códigos, pueden interpretar que llevan a una página fiable, como puede ser Google, pero realmente hay otro QR malicioso incrustado, que es al que accederá la víctima.
Cómo protegerte
Principalmente, la seguridad debe basarse en el sentido común. Cuidado con cualquier imagen adjunta en un correo electrónico. Siempre debes estar alerta, revisar bien códigos QR que lleguen por estos medios y nunca iniciar sesión a través de ellos, poner datos personales o descargar aplicaciones, ya que pueden ser un fraude.
También es fundamental que protejas bien tus cuentas. Más allá de usar una buena contraseña, es necesario que habilites la autenticación en dos pasos. Es una capa extra de seguridad, la cual evitará que un intruso entre en tus cuentas, incluso si logran robar esa clave. Necesitarían un segundo paso, que puede ser un código a través de una aplicación de 2FA o por SMS.
Además, es clave tener el dispositivo actualizado y contar con programas de seguridad. Esto te ayudará a protegerte de ataques que exploten fallos que pueda haber en el sistema, además de malware que pueda afectar al buen funcionamiento.
Más allá de las medidas digitales, es crucial aprender a detectar visualmente un posible fraude. Presta atención a estas señales:
- Superposición física: Desconfía de códigos QR que sean una pegatina colocada sobre un cartel o menú original. Los atacantes suelen superponer sus códigos maliciosos en lugares públicos.
- Calidad de impresión deficiente: Un código QR borroso, pixelado o con colores extraños puede ser una señal de manipulación. Las empresas legítimas suelen usar imágenes de alta resolución.
- Contexto sospechoso: ¿Has recibido un QR por un e-mail no solicitado que te urge a actuar? ¿Está en un lugar público sin justificación aparente? La urgencia y la falta de contexto son tácticas habituales del Phishing.
En definitiva, hay nuevas técnicas que están utilizando en campañas maliciosas de códigos QR capaces de eludir las medidas de seguridad. INCIBE, el Instituto Nacional de Ciberseguridad, considera los ataques con QR un problema muy peligro. Entre otras medidas, recomienda reportar cualquier intento de fraude a través de su Línea de Ayuda en Ciberseguridad (017).
Es fundamental que revises muy bien todo lo que escanees con tu móvil. Aunque sea un lugar que puedas interpretar como fiable, como sería la carta de un restaurante, no significa que no haya riesgos. Un intruso ha podido pegar una pegatina encima del QR legítimo, para redirigir a los clientes a una web fraudulenta. Analiza bien las páginas a las que accedes y nunca des datos personales, ni descargues archivos que puedan ser sospechosos. Evitar errores, en estos casos, es la mejor defensa.