Cuidado con los códigos QR: así los están utilizando para robarte el dinero y los datos

La pandemia ha obligado al usuario a abrazar las herramientas tecnológicas con más fuerza que nunca. Así lo demuestra el desarrollo de herramientas de rastreo del Covid-19, el auge de plataformas como Zoom, o la creciente importancia de los códigos QR, que igual te los encuentras en un Pasaporte Covid que pegados a la mesa de un bar en el que funcionan como sustituto de las cartas de toda la vida. Los cibercriminales no desconocen esta situación, por lo que se están esforzando por explotarla.


Recientemente la Policía Nacional ha alertado sobre una campaña de estafas en la que los ciberdelincuentes empleaban códigos QR con el objetivo de engañar a las víctimas y robar sus datos personales y su dinero. En concreto, el caso fue detectado por la Comisaría de Málaga, tal y como compartió hace unos días 'Sur'.


Sea como fuere, los expertos en ciberseguridad destacan que los cibercriminales cuentan a su disposición con varios mecanismos para sacar partido de los código QR. A este respecto, el Instituto Nacional de Ciberseguridad (Incibe), destaca el 'qrishing', una técnica que se combina junto con ingeniería social para engañar al usuario y que proporcione sus credenciales mediante el escaneo del código, que puede aparecer contenido en una página web, mensaje o correo electrónico.


Asimismo, la instituación señala que este tipo de códigos se puede emplear para infectar terminales con código malicioso con el fin de extraer datos, suscribir a la víctima a servicios premium y obtener acceso a diferentes elementos del dispositivo, como puede ser el micrófono o la cámara.


Finalmente, se alerta sobre el 'qrljacking', un tipo de ataque en el que también se emplea ingeniería social y conseguir que lea el código con la cámara de su terminal. En este caso, intentan secuestrar la cuenta de un servicio que acepte la función 'Inicio de sesión con código QR', como ocurre, por ejemplo, con WhatsApp Web. Para ello tratan de engañar a la víctima para que escanee un código QR modificado que suplanta al original que ha sido capturado previamente por los ciberdelincuentes. Al escanearlo, el atacante captura las credenciales de la sesión de la víctima y accede de forma encubierta a la información contenida dentro de la cuenta.



Para evitar ser víctima de alguna de estas estafas, desde Incibe se recomienda a los trabajadores comprobar de forma frecuente que los códigos QR presentes en sus negocios no han sido cambiados ni modificados. En lo que respecta a los usuarios, se destaca la importancia de que se fijen en que el código QR redirige a la página indicada, que deshabiliten la apertura automática de enlaces al escanear uno y que comprueben que la página a la que les redirige es segura.