El riesgo detrás de los códigos QR, ¿cómo proteger a tu empresa?
Los ciberdelincuentes utilizan cada vez más códigos QR en sus campañas de phishing con el objetivo de engañar a los usuarios y obtener su información de cuentas de correo, credenciales o información sensible. El uso de esta táctica para conseguir credenciales conocida como quishing, o phishing de código QR, empezó a observarse de forma extensa en mayo de este año, cuando un grupo de ciberdelincuentes falsificó alertas de seguridad de Microsoft donde pedían a empleados de múltiples industrias escanear un código QR para actualizar la configuración de seguridad de sus cuentas. Una vez que los usuarios lo escaneaban, un enlace de redirección los llevaba a una página web falsa que les pedía sus credenciales para iniciar sesión en su cuenta de Microsoft.
Desde entonces, esta nueva técnica no ha dejado de explotarse. De hecho, un informe reciente encontró que el 22% de las campañas de phishing detectadas en las primeras semanas de octubre utilizaron esta estrategia.
¿Cómo funciona el quishing?
Para llevar a cabo un ataque de quishing, los ciberdelincuentes crean un código QR falso que lleva a un sitio web fraudulento, que simula ser la página de inicio de sesión de una cuenta corporativa. Este sitio web puede ser utilizado para descargar malware en el dispositivo de la víctima o solicitar información confidencial como sus credenciales u otros datos como números de tarjetas de crédito o datos bancarios. En un ataque de quishing, el código malicioso puede distribuirse de diferentes formas:
- Correo electrónico
- Anuncios informativos
- Menús de restaurantes
- Servicios de movilidad personal
Las empresas son más propensas a ser víctimas de un ataque de quishing a través de su correo electrónico corporativo. Esto es porque los ciberdelincuentes, además de ocultar las amenazas en códigos QR, también abusan de dominios de confianza, utilizando tácticas de ofuscación y ocultando las URL dentro de códigos QR incrustados en archivos adjuntos PNG o PDF. Estas técnicas ayudan a que los correos electrónicos lleguen a las bandejas de entrada sin ser detectados por los filtros de seguridad.
¿Cómo evitar ser víctima del quishing?
Como ocurre con cualquier tipo de phishing, es crítico proteger a tu empresa contra ataques de quishing, para ello, lo más recomendable es educar a la plantilla sobre cómo identificarlos y evitar estos ataques. Para ello, deberás establecer buenas prácticas como:
- Comprobar la legitimidad del remitente: en caso de recibir un código QR por correo electrónico de una fuente que parece auténtica, confirmar la legitimidad del mensaje por otro medio, como un mensaje de texto o una llamada telefónica.
- Estar atento a los signos de alerta de un ataque de phishing: estos ataques suelen utilizar técnicas de ingeniería social para engañar a las personas, por lo que es necesario ser vigilante con las señales de alerta, como una sensación de urgencia o apelaciones a las emociones.
- Mirar la URL del código QR antes de abrirlo: en ocasiones, es posible revisar la vista previa de la URL en el código y determinar si parece sospechosa o no. Sin embargo, se debe desconfiar de cualquier URL que lleve a un sitio que solicite información personal, credenciales de acceso o un pago.
- Mantener una buena higiene de contraseñas: cambiar con frecuencia la contraseña del correo electrónico y evitar reutilizar la misma clave para más de una cuenta.
Además de la formación, debes establecer controles de seguridad por capas que detecten y bloqueen ataques estos ataques u otros tipos de phishing:
-
Protección de correo electrónico:
Esta solución sirve como la primera línea de defensa ante los ataques de phishing, ya que detecta los correos electrónicos sospechosos y los elimina.
-
Seguridad en el endpoint:
En caso de que un empleado consiga escanear el código malicioso, una solución de protección en el endpoint sería capaz de detectar tanto sitios web falsos, y URLs maliciosas como procesos sospechosos o comportamientos inusuales, lo que evitaría que el ataque siguiera adelante.
Nuevas técnicas de ataque como esta ponen en evidencia la importancia de contar con un sistema de defensa por capas, que pueda detectar y detener las amenazas avanzadas en cualquier nivel.
Si quieres saber más sobre cómo proteger a tu organización con un enfoque de seguridad multicapa, ingresa en los siguientes artículos de nuestro blog:
