El panorama de los ataques evoluciona día a día. La última amenaza emergente, el quishing, explota los códigos QR para atrapar a sus objetivos. Estos códigos omnipresentes ofrecen una pasarela sencilla y eficaz que une los mundos físico y digital. Se utilizan en embalajes, carteles e incluso tarjetas de visita para dirigir fácilmente a su audiencia hacia un sitio web. Esta herramienta, práctica y democratizada, es desviada por los ciberdelincuentes y se convierte en una nueva amenaza para los usuarios. ¿Pero qué es exactamente el quishing?
El término «quishing» procede de la contracción de «QR» (por Quick Response) y «phishing». Mientras que el phishing clásico explota principalmente enlaces o archivos adjuntos para engañar a sus víctimas, el quishing utiliza los códigos QR como vector de ataque.
El quishing tiene las mismas intenciones maliciosas que los mensajes de phishing o smishing. Busca engañar a las personas para que revelen información sensible, como credenciales de acceso, datos financieros u otra información personal.
¿Qué hay de nuevo respecto al phishing?
El phishing es una técnica de ataque que suele comenzar con un correo electrónico. El mensaje da la impresión de proceder de una fuente legítima y presenta una solicitud a menudo atractiva. Se induce a la víctima a hacer clic en un enlace del correo y después se la redirige a un sitio web falso que puede imitar a la perfección una entidad financiera, un servicio en línea u otras entidades legítimas. Ese sitio fraudulento está diseñado específicamente para recopilar información sensible como credenciales de acceso, información financiera o datos personales. El smishing sigue un enfoque idéntico apoyándose en un SMS en lugar de un correo electrónico.
Con el quishing el objetivo sigue siendo el mismo, pero esta vez el enlace malicioso se esconde detrás de un código QR. Ese código puede enviarse por correo electrónico o incluso pegarse físicamente sobre un código QR existente en tiendas, bancos o aparcamientos.
Una trampa difícil de detectar
El quishing presenta un peligro mayor que el phishing clásico porque es más complejo de identificar.
Los ataques de phishing y smishing son, en primer lugar, más conocidos por los usuarios y pueden ser parcialmente frustrados por los filtros antispam de los servicios de correo. No obstante, son cada vez más sofisticados y se apoyan en la inteligencia artificial generativa para imitar lo más fielmente posible la fuente que usurpan. Los usuarios deben estar atentos al remitente (correo, nombre…) y al enlace para tratar de frustrar estos intentos de captación de datos.
El quishing, en cambio, sigue siendo relativamente desconocido. Además, la confianza que se concede a los códigos QR, en particular en soportes físicos como tiendas o aparcamientos, incrementa el riesgo.
Por último, y sobre todo, los códigos QR están hechos para ser escaneados con un teléfono móvil, y el enlace fraudulento se abre directamente en la pantalla. A diferencia de la interfaz de un ordenador, en el móvil los enlaces suelen ser menos visibles, lo que dificulta la identificación de las páginas maliciosas. Esta característica clave del quishing aumenta de forma significativa el riesgo para los usuarios.
Las buenas prácticas
Para evitar caer en la trampa del quishing, siga estos consejos:
- Desconfíe de las pegatinas añadidas que contienen un código QR.
- En caso de duda, no escanee el código QR; acceda al sitio oficial por sus propios medios.
- Si decide escanear el código QR, compruebe siempre que la dirección del sitio web al que se le redirige es la oficial. Examine con atención la dirección, la ortografía, el diseño y el logotipo.
Protección profesional frente al quishing
Al integrar terminales móviles en su entorno o al autorizar el uso de smartphones personales con fines profesionales (BYOD), las empresas se convierten en objetivos atractivos para los ataques de quishing. Frente a esta amenaza creciente, un enfoque eficaz consiste en adoptar una solución de protección de la flota móvil (Mobile Threat Defense o MTD).
El MTD actúa en tiempo real detectando los enlaces maliciosos antes de que el usuario pueda realizar acciones o facilitar información sensible. Esta solución ofrece una protección completa, que cubre no solo el quishing, sino también el phishing clásico y el smishing (phishing por SMS). Además, la protección de la flota móvil se extiende a la detección y prevención de las amenazas procedentes de las aplicaciones (maliciosas e intrusivas), de la red (WiFi abierto, ataque Man-In-The-Middle…) y del sistema (sistema operativo sin actualizar, manipulación de la configuración…).
El quishing, que se aprovecha de los códigos QR, representa una amenaza creciente. Escondidos detrás de la aparente sencillez de los códigos QR, los atacantes explotan la confianza que se concede a estos códigos omnipresentes.
La detección del quishing, más compleja que la del phishing tradicional, exige una vigilancia reforzada. Las buenas prácticas, como la desconfianza ante los códigos QR y la verificación de las redirecciones, son cruciales para protegerse de esta amenaza.
La protección profesional frente al quishing pasa por adoptar soluciones avanzadas como el MTD (Mobile Threat Defense), que detecta los enlaces maliciosos antes de cualquier acción del usuario. Así, empresas y particulares pueden reforzar su seguridad digital frente a esta perniciosa evolución de los ataques en línea.
