Los inconvenientes que los problemas de ciberseguridad pueden generar a los usuarios de Internet van desde pérdida de cuentas en redes sociales por estafas millonariasy un factor característico de este tipo de ataques es la velocidad con la que se realizan y las diversas estrategias que tienen a su disposición los ciberdelincuentes alrededor del mundo.
Entre las formas que permiten la proliferación del cibercrimen, en los últimos años ha cobrado mayor relevancia una que se encuentra comúnmente en diferentes negocios: códigos QR. Escanearlos permite realizar pagos, acceder a la carta de un establecimiento gastronómico o acudir a una web que, en algunos casos, puede haber sido diseñada por ciberdelincuentes.
Y aunque no se trata de una tecnología nueva, cada vez es más común que surjan casos de usuarios estafados a través de estos códigos.
La forma en que los ciberdelincuentes utilizan estos códigos para estafar a las personas se basa en la creación de sitios web falsos, o dirigiendo a los usuarios que los escanean a plataformas de pago desde las que las víctimas, sin saberlo, les entregan su dinero. pensando que están pagando por un consumo que han realizado.
Un código QR cumple la función de redirigir a quienes lo escanean a una determinada URL. Ese enlace puede ser a un sitio oficial o, en casos de estafa, uno colocado por alguien que tiene la intención de dañar a víctimas desprevenidas. Y dado que la práctica de escanear estos códigos se ha vuelto muy común, no es raro que un usuario no preste mucha atención al sitio al que accede.
Tipos de estafas QR
Una de las formas más comunes de hacer trampa usando estos códigos es la llamada Qrishing, un ataque basado en la misma lógica que el phishing. Mediante ingeniería social, un ciberdelincuente engaña a la víctima que ingresa su enlace para que proporcione sus datos y credenciales escaneando un código QR dentro de una página web, correo electrónico o mensaje. Al leer el código, el usuario es redirigido a un sitio web que se hace pasar por el de la empresa oficial y que solicita información confidencial o bancaria.
El segundo ataque es descarga de software malicioso. Para ello, cuando la víctima escanea un QR de un sitio web no confiable, su dispositivo se infecta con un código malicioso diseñado para explotar las vulnerabilidades del teléfono y abrir el camino a diferentes accionescomo la extracción de datos personales, la suscripción a servicios premium, la visualización silenciosa de anuncios y el acceso a datos del navegador y diferentes elementos del dispositivo, como la cámara o el micrófono.
El principal problema de todas estas acciones es que Ocurren en segundo plano, por lo que la víctima no se da cuenta de ellos.. Finalmente, los hackers también pueden hacer secuestro de qrlun ataque que también utiliza ingeniería social para secuestrar la cuenta de un servicio que acepta la función “Iniciar sesión con código QR”, como es el caso de WhatsApp Web.
Para llevar a cabo este ataque, intentan engañar al usuario para que escanee un QR modificado que se hace pasar por el original, que ha sido capturado previamente por ciberdelincuentes. De esta forma, cuando la víctima escanea el código QR, el hacker puede copiar las credenciales de inicio de sesión del usuario para acceder de forma encubierta a la información personal almacenada en dicha cuenta.
Un ejemplo de estafa QR fue citado por el diario The Sun en un artículo publicado a principios de año, en el que decía que la víctima escaneó un código en un estacionamiento pensando que iba a pagar su tarifa, pero en realidad entregó credenciales con las que le robaron 16 mil dólares de su cuenta bancaria. Esto fue posible dado que los autores del robo colocaron QR’s falsos en las instalaciones del garaje.
Claves para no caer en estafas con códigos QR
En términos de ciberseguridad, lo más importante sigue siendo informar correctamente a los usuarios para que dispongan de las herramientas de prevención adecuadas, que son similares en todos los casos.
Especialmente con códigos QR, es recomendado:
- Preste atención a los enlaces de códigos distribuidos en espacios públicos o sin una identificación clara
- No escribas datos personales o sensibles en sitios no oficiales
