El aumento de ataques de ciberseguridad conocidos como «Quishing» está causando gran preocupación entre las empresas y profesionales de seguridad informática. Este nuevo método emplea códigos QR en archivos PDF y correos electrónicos para engañar a los usuarios, redirigiéndolos a sitios web maliciosos con el fin de robar credenciales. Sophos X-Ops, una firma destacada en seguridad, ha investigado varios incidentes y advierte sobre el peligro que representa esta técnica, que ha engañado incluso a empleados capacitados en seguridad.
¿Qué es el «Quishing» y cómo funciona?
El término «Quishing» combina las palabras QR code (código QR) y phishing, una técnica de ingeniería social para obtener información confidencial a través de enlaces engañosos. Los códigos QR son una herramienta común para compartir URL, pero al escanear uno, los usuarios no pueden inspeccionar la dirección del enlace de manera efectiva, a diferencia de un enlace en texto plano. Esta falta de visibilidad hace que los códigos QR sean un vehículo ideal para los ciberdelincuentes, quienes aprovechan la cámara de los dispositivos móviles para inducir a los usuarios a abrir sitios web de suplantación.
La complejidad detrás de los códigos QR maliciosos
Una de las características de estos ataques es que los enlaces codificados en los QR pueden usar servicios de redireccionamiento o dominios seguros como Google o CloudFlare para evitar ser detectados. Por ejemplo, Sophos detectó correos electrónicos de phishing en los que se empleaban enlaces aparentemente seguros de Google que, tras un redireccionamiento, llevaban al usuario a un sitio malicioso. En estos casos, una revisión preliminar del enlace no revelaría ningún riesgo, ya que los servicios de redireccionamiento ocultan el destino final, dificultando aún más su detección.
La importancia de una vigilancia reforzada en dispositivos móviles
La mayoría de las personas utiliza sus teléfonos para escanear códigos QR, lo cual limita la oportunidad de examinar la URL completa. Al escanear un código QR, la aplicación de la cámara puede mostrar la URL de destino por solo unos segundos, lo que deja poco tiempo para verificar su autenticidad. Además, algunos servicios acortan los enlaces o emplean técnicas de ofuscación, dificultando aún más la identificación de un enlace malicioso.
¿Cómo pueden las empresas protegerse contra el «Quishing»?
Para hacer frente a esta amenaza, Sophos sugiere implementar soluciones de seguridad que puedan seguir y analizar las cadenas de redireccionamiento hasta llegar al sitio final y verificar su reputación. Las organizaciones deben educar a sus empleados sobre los peligros de los códigos QR desconocidos y enfatizar la importancia de revisar detenidamente cualquier enlace antes de proporcionar información sensible. Además, se recomienda el uso de herramientas de verificación de reputación en tiempo real para identificar sitios de phishing que empleen técnicas de redireccionamiento y ocultación.
Recuerda que puedes encontrar más noticias de tecnología en nuestro sitio web, además, te invitamos a seguirnos en nuestras redes sociales: Facebook y Twitter (actualmente llamado X), incluido en Google News.
