Quishing (Phishing con códigos QR): Guía completa de protección
El quishing, o phishing con códigos QR, es un método de ciberataque cada vez más frecuente en el que los criminales reemplazan códigos QR legítimos con otros maliciosos o crean códigos falsos que redirigen a las víctimas a sitios web fraudulentos. Según el Centro de Denuncias de Delitos por Internet del FBI, los estafas relacionadas con códigos QR aumentaron un 587% entre 2022 y 2023, con pérdidas promedio de 1.500 dólares por incidente. Estos ataques aprovechan el hecho de que los códigos QR no son legibles para los humanos, lo que hace imposible verificar el destino antes de escanearlos. La estafa típicamente funciona colocando códigos QR fraudulentos en parquímetros, mesas de restaurantes, empaques de productos o en adjuntos de correo electrónico que parecen provenir de empresas legítimas. Al escanearlos, estos códigos redirigen a las víctimas a sitios web falsos convincentes diseñados para recopilar credenciales de inicio de sesión, información bancaria o detalles de tarjetas de pago. En entornos corporativos, los atacantes envían códigos QR por correo electrónico que eluden los filtros de seguridad tradicionales, llevando a los empleados a páginas de inicio de sesión falsas de Microsoft 365 o portales de nómina. Lo que hace que el quishing sea particularmente peligroso es su capacidad para eludir las medidas de seguridad convencionales. Los sistemas tradicionales de seguridad de correo electrónico escanean URLs y adjuntos en busca de contenido malicioso, pero los códigos QR aparecen como imágenes inofensivas. Además, muchos teléfonos inteligentes abren automáticamente enlaces de códigos QR sin mostrar primero la URL completa, lo que no brinda a las víctimas la oportunidad de verificar el destino. La Comisión Federal de Comercio reportó que las empresas perdieron más de 48 millones de dólares por estafas con códigos QR en 2023, siendo tanto consumidores como empleados víctimas de estos ataques sofisticados.
Common Tactics
- • Reemplazo físico de códigos QR: Los estafadores imprimen pegatinas con códigos QR maliciosos y las colocan sobre códigos legítimos en parquímetros, terminales de pago en restaurantes, estaciones de carga de vehículos eléctricos y etiquetas de paquetes de entrega, redirigiendo pagos a sus propias cuentas.
- • Campañas de quishing por correo electrónico: Los atacantes envían correos electrónicos de apariencia profesional fingiendo ser de departamentos de TI, recursos humanos o instituciones financieras con códigos QR para reinicios de contraseña urgentes, configuración de autenticación multifactor o pagos de facturas que conducen a sitios de recopilación de credenciales.
- • Avisos falsos de multas de estacionamiento: Los criminales colocan multas de estacionamiento fraudulentas en los parabrisas con códigos QR que ofrecen opciones de pago rápido, pero que en realidad roban información de tarjetas de crédito y datos personales cuando se escanean.
- • Señuelos de inversión en criptomonedas: Los estafadores distribuyen códigos QR a través de redes sociales y aplicaciones de mensajería afirmando proporcionar acceso a oportunidades exclusivas de inversión en criptomonedas, pero que en realidad drenan las billeteras digitales de las víctimas cuando se escanean.
- • Estafas de entrega de paquetes: Los defraudadores envían mensajes de texto o correos electrónicos con códigos QR afirmando reprogramar entregas de paquetes o pagar aranceles aduanales, conduciendo a sitios falsos de servicios postales que capturan información de tarjetas de pago.
- • Estafas en menús de restaurantes y pagos: Los atacantes crean códigos QR falsos para menús digitales o pagos de servicios de mesa en restaurantes, redirigiendo a los comensales a sitios clonados que roban detalles de tarjetas de crédito cuando los clientes intentan pagar sus cuentas.
How to Identify
- Falta de coincidencia en la vista previa de URL: Antes de abrir el enlace, verifica si tu teléfono muestra una URL de vista previa que no coincida con el destino esperado (por ejemplo, un código QR de parquímetro que muestra una URL de sitio personal en lugar del dominio oficial de la ciudad).
- Evidencia de manipulación física: Busca pegatinas colocadas sobre códigos QR originales, impresión desalineada, diferentes calidades de papel o códigos que parezcan haberse agregado después del hecho en lugar de estar impresos profesionalmente como parte del material original.
- Solicitudes de acción urgente: Desconfía de códigos QR acompañados de lenguaje amenazante como 'la cuenta será suspendida en 24 horas', 'actualización de seguridad urgente requerida' o 'pagar dentro de 2 horas para evitar sanciones', ya que los servicios legítimos rara vez usan tácticas de presión.
- Comunicación genérica o impersonal: Los correos electrónicos o mensajes que contienen códigos QR que no usan tu nombre real, hacen referencia a problemas vagos de cuenta o carecen de detalles específicos sobre tu relación con el supuesto remitente probablemente sean fraudulentos.
- Solicitudes de autenticación inesperadas: Si recibes códigos QR no solicitados que afirmen configurar autenticación multifactor, verificar detalles de cuenta o confirmar identidad cuando no iniciaste ningún proceso de este tipo, esto es una bandera roja importante.
- Inconsistencia en el destino de pago: Cuando un código QR te lleva a una página de pago, verifica que el nombre del destinatario, detalles comerciales y procesador de pagos coincidan con lo esperado. Los estafadores a menudo usan cuentas personales o plataformas de pago desconocidas en lugar de servicios de comerciante establecidos.
How to Protect Yourself
- Instala un escáner de códigos QR con vista previa de URL: Usa aplicaciones lectoras de códigos QR que muestren la URL de destino completa antes de abrirla, y siempre verifica que el dominio coincida con la organización legítima (busca errores tipográficos sutiles como 'micros0ft.com' con un cero en lugar de una 'o').
- Escribe manualmente las URLs oficiales: En lugar de escanear códigos QR para acciones sensibles como banca, reinicios de contraseña o pagos, navega al sitio web oficial escribiendo la URL directamente en tu navegador o usando marcadores guardados.
- Verifica códigos QR físicos antes de escanear: Examina parquímetros, terminales de pago y empaques de productos para detectar signos de manipulación. Los códigos QR legítimos deben estar impresos como parte del material original, no agregados mediante pegatinas o etiquetas separadas.
- Habilita autenticación de dos factores en todas las cuentas: Incluso si los estafadores obtienen tus credenciales a través de quishing, la autenticación de dos factores adecuada usando aplicaciones de autenticación (no SMS) les impide acceder a tus cuentas sin el código de verificación secundaria.
- Contacta a las organizaciones a través de canales oficiales: Si recibes un código QR que afirma que se necesita acción urgente, contacta de forma independiente a la organización usando números de teléfono o sitios web de sus fuentes oficiales, no información proporcionada en el mensaje sospechoso.
- Usa software de seguridad móvil: Instala aplicaciones de seguridad móvil reputadas que puedan detectar y bloquear sitios web maliciosos, incluso cuando se accede a través de códigos QR, proporcionando una capa adicional de protección contra el robo de credenciales y malware.
Real-World Examples
El propietario de una pequeña empresa recibió un correo electrónico que parecía ser de su proveedor de software de contabilidad con un código QR para 'verificación de seguridad obligatoria'. Escanearlo lo llevó a una página de inicio de sesión falsa convincente donde ingresó sus credenciales. En 2 horas, los estafadores accedieron a su cuenta, cambiaron la información de recuperación e hicieron transferencias ACH fraudulentas por un total de 8.400 dólares a cuentas externas. El negocio solo descubrió la violación cuando las solicitudes de pago legítimas rebotaron por fondos insuficientes.
Los clientes de un restaurante popular en el centro escanearon códigos QR en tarjetas de mesa para ver el menú, sin saber que los estafadores habían reemplazado los códigos legítimos durante la noche. Los códigos falsos llevaron a un sitio web clonado que se veía idéntico al sistema de pedidos real del restaurante. Durante un fin de semana, 47 clientes ingresaron información de sus tarjetas de crédito para pagar por las comidas, y los estafadores usaron inmediatamente los datos robados para compras fraudulentas promediando 2.300 dólares por tarjeta antes de que el restaurante descubriera el cambio.
Una estafa de estacionamiento municipal involucraba avisos de violación falsos colocados en parabrisas con códigos QR para 'pago en línea conveniente'. Los avisos se veían oficiales con logos de la ciudad y códigos de violación. Las víctimas que escaneaban el código fueron dirigidas a un portal de pago de apariencia profesional solicitando detalles de tarjetas de crédito y números de licencia de conducir. Antes de que las autoridades lo cerraran, el esquema operó durante 11 días, recopilando más de 34.000 dólares de aproximadamente 180 víctimas que creían estar pagando multas de estacionamiento legítimas.