Aumenta el uso indebido de códigos QR para robar datos y dinero

Recomendados:  Lee IT Digital Security (Febrero de 2022) para PC y Mac Leer Nuevas reglas de seguridad para aplicaciones web y API Leer

Los códigos QR están de moda. Debido a la COVID-19, estos códigos se utilizan para todo, desde mostrar los menús de los restaurantes hasta facilitar las transacciones sin contacto. Sin embargo, al igual que cualquier otra tecnología popular, su uso generalizado también ha llamado la atención de los estafadores, que los han adoptado con fines maliciosos. En este sentido, ESET desvela cómo se pueden explotar.

Los ataques de phishing no sólo se propagan mediante correos electrónicos, mensajes instantáneos o textos. Al igual que los atacantes pueden utilizar anuncios maliciosos y otras técnicas para dirigir a las víctimas a sitios fraudulentos, pueden hacer lo mismo con los códigos QR. Esto es especialmente preocupante si los códigos se colocan en anuncios en zonas concurridas o cerca de bancos u otras instituciones financieras.

Como hemos dicho, muchos bares y restaurantes utilizan códigos QR para que puedas descargar un menú en formato PDF o instalar una aplicación que te permite hacer un pedido. Los estafadores podrían manipular fácilmente el código QR para engañar al usuario y hacer que descargue un archivo PDF malicioso o una aplicación móvil fraudulenta.

Los códigos QR también pueden desencadenar acciones directamente en tu dispositivo, y estas acciones dependen de la aplicación que los lee (de hecho, hay que tener cuidado con las aplicaciones falsas de escaneo de códigos de barras). Sin embargo, hay algunas acciones básicas que cualquier lector QR básico es capaz de interpretar. Entre ellas, conectar el dispositivo a una red Wi-Fi, enviar un correo electrónico o un mensaje SMS con un texto predefinido o guardar información de contacto en el dispositivo. Aunque estas acciones en sí mismas no tienen carácter malicioso, podrían utilizarse para hacer que un dispositivo se conectase a una red comprometida o enviar mensajes en nombre de la víctima.

Por otra parte, la mayoría de las aplicaciones financieras permiten realizar pagos a través de códigos QR que contienen datos del destinatario del dinero. Muchas tiendas muestran estos códigos a sus clientes y facilitan así la transacción. Sin embargo, un atacante podría modificar este QR con sus propios datos y recibir pagos en su cuenta. También podría generar códigos con solicitudes de cobro de dinero para engañar a los compradores.

Finalmente, muchos códigos QR se utilizan como certificado para verificar la información de una persona, como su DNI o su certificado de vacunación. En estos casos, los códigos QR pueden contener información tan sensible como la contenida en su DNI o historial médico, que un atacante podría obtener fácilmente escaneando el código QR. Sin ir más lejos, muchas aplicaciones, como WhatsApp, Telegram o Discord, utilizan en ocasiones códigos QR para autenticar las sesiones de los usuarios y así permitirles acceder a sus cuentas. Como ya ha ocurrido con WhatsApp, con ataques como el QRLjacking, los atacantes pueden engañar a un usuario suplantando la identidad del servicio y engañando al usuario para que escanee el QR proporcionado por el atacante.

En la mayoría de los casos presentados por ESET, el atacante tendrá que generar un código QR malicioso que sustituya al código original que va a escanear la víctima. En otras palabras, los ataques implican ingeniería social y se basan en engañar a la víctima para que lleve a cabo una acción malintencionada. Por lo que esto es lo que hay que tener en cuenta antes de escanear un código QR.