This post is also available in: Português Español
Casi veinte años después de su desarrollo, la prevalencia y el uso de códigos de respuesta rápida (QR) se ha expandido mucho más allá de su alcance original. Si bien muchos usos son legítimos, los ciberdelincuentes también aprovechan la tecnología con fines maliciosos.
Los códigos QR se inventaron en 1994 y originalmente proporcionaban información de seguimiento rápido para autopartes. Esta tecnología ha sido adoptada por otras empresas y actualizada para facilitar el acceso a sitios web y otra información.
En 2022, estos códigos se utilizan para facilitar los pagos, descargar aplicaciones, vincular a sitios web, distribuir documentos y confirmar boletos para eventos. Incluso admiten mecanismos de seguridad, incluida la implementación de autenticación multifactor.
La pandemia de COVID-19 ha llevado al uso generalizado de códigos QR para informar los resultados de las pruebas y confirmar el estado de vacunación. La popularidad de la tecnología se confirmó con la digitalización sin precedentes del anuncio de Coinbase durante el Super Bowl de 2022.
Esta evolución ha garantizado a los usuarios que se puede confiar en los motores de códigos QR. Sin embargo, los ciberdelincuentes están explotando esta confianza para recopilar información confidencial o implementar malware.
¿Cómo se explotan los códigos QR?
Los códigos QR utilizan cámaras o escáneres de dispositivos móviles para leer un código de barras matriz. Luego, el dispositivo traduce el código de barras en una acción, como una redirección a un sitio web o una red social. Si bien los códigos QR no se pueden comprometer directamente, es posible reemplazar un código QR por otro, abusar de ellos para distribuir software malicioso o redirigir a las víctimas a un sitio web malicioso.
Los ataques que explotan los códigos QR se conocen como Qshing: phishing. En enero de 2022, el FBI advirtió a los usuarios de códigos QR sobre la manipulación y citó un aumento de informes de credenciales robadas y pérdidas monetarias. En marzo, el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA) informó sobre una campaña de Qshing que aprovecha una página de restablecimiento de contraseña falsa para robar credenciales.
Protéjase
Si bien no existe una forma concluyente de verificar la legitimidad de un código QR que no sea abrirlo o usar una aplicación de escaneo de códigos QR, se recomienda que los usuarios consideren los siguientes pasos cuando se enfrenten a un código QR:
- Use una aplicación de seguridad en su dispositivo móvil.
Muchos proveedores ofrecen aplicaciones que brindan detección antivirus y otras protecciones de seguridad para dispositivos móviles. Algunas de estas aplicaciones incluyen escáneres QR. Escanear un código QR a través de la aplicación de seguridad puede interceptar códigos QR maliciosos o trazos sospechosos, lo que agrega otra capa de protección.
- Evaluar la credibilidad del código QR
¿El contexto y los mensajes del código QR son apropiados? Por ejemplo, un restaurante que ofrece su menú a través de un código QR es razonable.
Sin embargo, los usuarios deben tener cuidado si escanear un código QR genera solicitudes de información que no parece relevante (por ejemplo, información de identificación personal). Si el código QR parece sospechoso, puede intentar verificar su credibilidad poniéndose en contacto con la organización o la persona que lo emitió.
Además, es importante evaluar los riesgos potenciales asociados con compartir la información solicitada.
- Siempre que sea posible utilice el acceso directo
Los códigos QR se utilizan a menudo para proporcionar acceso directo a un sitio web o a la descarga de una aplicación. Es más seguro visitar un sitio web a través de una URL confirmada en un navegador web y descargar aplicaciones de la tienda de aplicaciones oficial. También se recomienda interactuar directamente con su banco o proveedor de servicios (por ejemplo, proveedores como empresas de servicios públicos, aplicaciones financieras confiables como PayPal) en lugar de realizar pagos o transacciones financieras a través de un sitio web al que se accede mediante un código QR.
- Verifique el destino del código QR
El código QR en sí mismo puede no ser malicioso, pero puede dirigirlo a contenido malicioso. Evalúe la autenticidad y la seguridad del contenido considerando factores como la validez de la URL, el estado del cifrado y el formato de la página. Si algo no se siente bien, evite proceder con cualquier acción.
- Minimizar el impacto
Si escaneó un código QR y navegó a un sitio web o aplicación que parece malicioso o poco confiable, cierre la página o aplicación, borre las cookies de su navegador y el caché del sitio web, y elimine la página o aplicación del historial de su navegador. Si proporcionó credenciales o información financiera, escale el incidente a la organización correspondiente y cambie su contraseña.
Por lo general, los dispositivos móviles son más difíciles de explotar sin la interacción del usuario, pero el uso ampliado de códigos QR puede reducir las defensas del usuario. Evaluar la legitimidad de un código QR puede evitar un error costoso, estresante o dañino. Estar vigilantes es clave.
This post is also available in: Português Español
