Profeco advierte sobre el QRLJACKING Y el QRISHING.

La Procuraduría Federal del Consumidor (Profeco) lanzó una advertencia para todos aquellos que suelen abrir códigos QR en los espacios públicos. Se alerta sobre el riesgo de sufrir una nueva modalidad de estafa destinada al robo de datos y de dinero tras el escaneo de enlaces QR que redirigen a páginas de internet inseguras.

Los códigos Quick Response (QR) son enlaces capaces de almacenar información y son útiles para dirigirte de manera directa hacia sitios web. Como su nombre lo indica, basta con un escaneo para adentrarse de manera rápida al ciberespacio al que direccionan.

La estafa del código QR sirve para atacar los teléfonos móviles, espiar a las empresas, cometer fraudes y obtener credenciales de acceso a aplicaciones y plataformas.

Mediante esta nueva técnica de ataque, los delincuentes suplantan la identidad de empresas legítimas como compañías de parking, restaurantes o instituciones públicas, crean códigos QR falsos, engañan a sus víctimas para que los escaneen con sus teléfonos móviles y logran:

1. Descargar un malware en el dispositivo para espiar al usuario o acceder a aplicaciones como las apps bancarias.
2. Redirigir a la víctima a una web falsa en la que se le solicita información de gran valor como su nombre, apellidos, teléfono, email o datos bancarios. Y, a partir de ahí, hacerle cargos ilegítimos, suplantar su identidad para cometer fraudes financieros o vender sus datos para llevar a cabo otros ataques.La estafa del código QR se ha hibridado con una de las técnicas maliciosas más empleadas en el mundo desde hace años: el phishing. El resultado de esta fusión es una nueva variante de ataque conocida como quishing. ¿En qué consiste?

1. Los delincuentes envían un email falso a sus víctimas, pero en vez de solicitarles que hagan clic en un enlace, les piden que escaneen un QR.
2. Las víctimas escanean el QR usando su teléfono móvil personal o profesional. Acto seguido:
   • Aterrizan en una página de phishing cuya apariencia es completamente real en la que se busca que o bien introduzcan credenciales de acceso a determinados programas o plataformas (software empresarial, redes sociales, cuentas bancarias online…).
   • Llegan a una página maliciosa para que descarguen un programa o un documento que están infectados con malware.
   • Se descarga automáticamente un PDF infectado con malware.
3. Los delincuentes usan las credenciales para acceder de forma ilegítima a programas o despliegan su malware para espiar a sus víctimas, robar datos críticos e, incluso, acceder a otras aplicaciones móviles de gran importancia.
4. En algunos casos la estafa del código QR y el quishing se combina con otras técnicas como llamadas falsas suplantando la identidad de entidades bancarias y, así, lograr que la víctima no sospeche en caso de que se produzcan cargos ilegítimos en su cuenta bancaria. Este fue el modus operandi de los actores maliciosos del primer caso que abordamos en este artículo.La Procuraduría Federal del Consumidor señala al QRLjacking y al QRishing como las dos modalidades de estafa por códigos QR más comunes. Siendo estas referentes al secuestro de cuentas de mensajería instantánea y a la suplantación de identidad para la solicitud de pagos, respectivamente.

   Uno de los principales consejos que brindan los expertos en ciberseguridad para evitar las estafas cibernéticas, es no escanear códigos que luzcan sospechosos y usar aplicaciones que permitan previsualizar los enlaces antes de abrirlos.

   También la Profeco señala como algo primordial para evitar las estafas a través de códigos QR, tener instalado un antivirus en todos los dispositivos a través de los cuales te conectas a internet, así como mantener el sistema operativo del equipo actualizado.

   A la lista de consejos, Profeco añade la deshabilitación de acciones automáticas, como el acceder a sitios web, la descarga de archivos y las conexiones directas a las redes Wi-Fi.

   Por último, se aconseja a los usuarios de códigos QR, verificar sus transacciones al realizar pagos y dudar en todo momento cuando se hacen solicitudes de información personal.

   Consejos para evitar ser víctima de la estafa del código QR

   1. Se precavidos y usar el sentido común cuando se escanea un QR en un espacio público como estaciones de transporte o zonas de aparcamiento. Y, más aún, si se va a usar un dispositivo móvil que alberga credenciales de acceso e información de índole empresarial.
   2. Comprobar que el código QR no está superpuesto a través, por ejemplo, de una pegatina.
   3. Fijarse en la URL a la que dirige el QR, porque puede visibilizar que no se trata de un enlace legítimo de la empresa o institución suplantada.
   4. Si se recibe un email en el correo profesional no es recomendable escanear el QR ni con el móvil de empresa, ni con el teléfono personal.
   5. Actuar con cautela en la web a la que te redirige un QR. Antes de introducir ningún dato de carácter personal y financiero o descargar ningún documento o programa es fundamental comprobar que el enlace, los textos y la apariencia visual con coherentes.
   6. En caso de que la estafa del código QR se lleve a cabo en un contexto profesional, es fundamental avisar al equipo de la empresa encargado de gestionar los incidentes de seguridad.