Ojo con los QR que escaneas: así es una estafa 'Quishing'

El uso de códigos QR (Quick Response o respuesta rápida) se ha incrementado considerablemente desde la pandemia, convirtiéndose en una herramienta común en la vida diaria. Sin embargo, su popularidad también ha atraído la atención de los ciberdelincuentes, que han desarrollado una nueva forma de estafa conocida como Quishing o QRishing. Esta variación del phishing utiliza códigos QR para engañar a las víctimas y obtener información personal. La firma de ciberseguridad Check Point ha alertado sobre el aumento de estas estafas desde el verano pasado, señalando que los delincuentes han encontrado maneras de evadir las soluciones de seguridad con nuevos tipos de códigos QR.

El término quishing combina QR y phishing. El phishing es una técnica de engaño en la que los atacantes se hacen pasar por entidades confiables, como bancos o empresas, para obtener información personal de las víctimas. En el caso del quishing, los ciberdelincuentes utilizan códigos QR maliciosos para solicitar la autenticación de múltiples factores (MFA) o para dirigir a las víctimas a sitios web fraudulentos que recopilan sus credenciales. Estos códigos suelen enviarse a través de correos electrónicos que parecen legítimos, engañando a las personas para que escaneen el QR bajo pretextos falsos.

Con el tiempo, los ataques de quishing se han vuelto más sofisticados. Los delincuentes ahora utilizan técnicas de enrutamiento condicional, ajustando el contenido del enlace según el dispositivo del usuario, y personalizan los códigos QR para que parezcan más auténticos, incorporando logos de empresas y nombres de usuarios. Esta evolución ha hecho que las estafas sean más difíciles de detectar y más efectivas en engañar a las víctimas.

La última innovación en quishing, según Check Point, es la creación de códigos QR utilizando caracteres ASCII y HTML en lugar de imágenes tradicionales. Este método busca eludir los sistemas de Reconocimiento Óptico de Caracteres (OCR) que muchas soluciones de seguridad utilizan para detectar códigos QR maliciosos. Al generar estos códigos en formato de texto, los atacantes logran que parezcan legítimos tanto para los usuarios como para los sistemas de seguridad automatizados, aumentando el riesgo de que los usuarios caigan en la estafa y descarguen malware en sus dispositivos. Esta tendencia está en aumento y representa una amenaza significativa para la ciberseguridad.