Los códigos QR no son una tecnología precisamente nueva. Nacieron allá por 1994. Lo que sí es cierto es que la pandemia de la COVID-19 es lo que más ha hecho por su proliferación en estos casi 30 años de vida.
Estos cuadrados y negros también llamados "códigos BIDI" están en todas partes, desde los negocios y los restaurantes hasta los programas de televisión. Pero su creciente popularidad también ha hecho que los ciberdelincuentes se fijen en ellos para sus objetivos maliciosos.
Qué es un código QR
Un código QR se puede definir como un tipo de código de barras escaneable por dispositivos que, como su nombre indica, está diseñado para ser leído e interpretado instantáneamente por un dispositivo digital. Un código QR puede almacenar hasta 4.296 caracteres alfanuméricos, aunque los que se utilizan habitualmente suelen contener menos caracteres y permiten así una fácil descodificación con la cámara de un smartphone.
Las cadenas de texto que se codifican en un código QR pueden contener diversos datos. La acción que se produce al leer un código QR depende de la aplicación que interactúa con dicho código, y los códigos pueden utilizarse para abrir un sitio web, descargar un archivo, añadir un contacto, conectarse a una red Wi-Fi e incluso realizar pagos, entre otras muchas acciones.
Los códigos QR son muy versátiles y pueden personalizarse para incluir logotipos. Las versiones dinámicas de los códigos QR permiten incluso cambiar el contenido o la acción en cualquier momento. Sin embargo, esta versatilidad puede ser un arma de doble filo.
¿Cómo se pueden explotar los códigos QR?
La compañía de seguridad ESET desvela cómo los delincuentes pueden utilizar los códigos para robar datos y dinero:
1. Redirigirte a un sitio web malicioso para robar información sensible
Los ataques de phishing no sólo se propagan mediante correos electrónicos, mensajes instantáneos o textos. Al igual que los atacantes pueden utilizar anuncios maliciosos y otras técnicas para dirigir a las víctimas a sitios fraudulentos, pueden hacer lo mismo con los códigos QR. Esto es especialmente preocupante si los códigos se colocan en anuncios en zonas concurridas o cerca de bancos u otras instituciones financieras.
2. Descargar un archivo malicioso en tu dispositivo
Muchos bares y restaurantes utilizan códigos QR para que puedas descargar un menú en formato PDF o instalar una aplicación que te permite hacer un pedido. Los estafadores podrían manipular fácilmente el código QR para engañar al usuario y hacer que descargue un archivo PDF malicioso o una aplicación móvil fraudulenta.
3. Activar acciones en su dispositivo
Los códigos QR pueden desencadenar acciones directamente en tu dispositivo, y estas acciones dependen de la aplicación que los lee (de hecho, hay que tener cuidado con las aplicaciones falsas de escaneo de códigos de barras). Sin embargo, hay algunas acciones básicas que cualquier lector QR básico es capaz de interpretar. Entre ellas, conectar el dispositivo a una red Wi-Fi, enviar un correo electrónico o un mensaje SMS con un texto predefinido o guardar información de contacto en el dispositivo. Aunque estas acciones en sí mismas no tienen carácter malicioso, podrían utilizarse para hacer que un dispositivo se conectase a una red comprometida o enviar mensajes en nombre de la víctima.
4. Desviar un pago o hacer peticiones de dinero
Hoy en día, la mayoría de las aplicaciones financieras permiten realizar pagos a través de códigos QR que contienen datos del destinatario del dinero. Muchas tiendas muestran estos códigos a sus clientes y facilitan así la transacción. Sin embargo, un atacante podría modificar este QR con sus propios datos y recibir pagos en su cuenta. También podría generar códigos con solicitudes de cobro de dinero para engañar a los compradores.
5. Robar la identidad del usuario o el acceso a una aplicación
Muchos códigos QR se utilizan como certificado para verificar la información de una persona, como su DNI o su pase de vacunación. En estos casos, los códigos QR pueden contener información tan sensible como la contenida en su DNI o historial médico, que un atacante podría obtener fácilmente escaneando el código QR. Sin ir más lejos, muchas aplicaciones, como WhatsApp, Telegram o Discord, utilizan en ocasiones códigos QR para autenticar las sesiones de los usuarios y así permitirles acceder a sus cuentas. Como ya ha ocurrido con WhatsApp, con ataques como el QRLjacking, los atacantes pueden engañar a un usuario suplantando la identidad del servicio y engañando al usuario para que escanee el QR proporcionado por el atacante.
En la mayoría de los casos el atacante tendrá que generar un código QR malicioso que sustituya al código original que va a escanear la víctima. En otras palabras, los ataques implican ingeniería social y se basan en engañar a la víctima para que lleve a cabo una acción malintencionada.
Cómo usar los códigos QR de manera segura
La compañía de seguridad recomienda a los usuarios que antes de escanear un código QR comprueben que no ha sido manipulado, es decir, que no tengan ninguna etiqueta que tapa otra. Esto también debería hacerse después. Es decir, hay que mirar si la URL es legítima o resulta algo sospechosa. Además, ESET aconseja evitar escanear códigos QR encontrados al azar o en mensajes no solicitados.
Si va a escanearse un código para efectuarse el pago de una factura o hacer otro tipo de transacción financiera, en la medida de lo posible es mejor usar otra forma de pago alternativa. Los QR tienen que usarse con la misma precaución que los enlaces o archivos adjuntos en emails o aplicaciones de mensajería.
Por otro lado, la firma sugiere usar un servicio de confianza y un software de seguridad. También es importante no compartir códigos QR con información sensible, como los incluídos en documentos y certificados sanitarios.