Involucrados en ya el 71% de las campañas de phishing, los ciberdelitos perpetrados a través de códigos QR son cada vez más frecuentes. Sacando partido de la digitalización y de la popularidad ganada en pandemia de estos códigos, los ciberdelincuentes pueden acceder a los datos bancarios y personales del usuario tras un mero escaneo. Razón por la que la Policía Nacional ha lanzado una advertencia sobre los peligros del QRshing.
Aprovechándose de la confianza
Popularizados a raíz de la pandemia, los códigos QR están por doquier. Recipientes virtuales de todo tipo de información, su uso se da sobre todo en smartphones, tanto para proporcionar al usuario datos de interés –desde cartas de restaurante hasta páginas web– como para verificar su identidad –en ámbitos como el público y gubernamental. Razón por la que su presencia en algunos ciberdelitos es cada vez más frecuente y una alarma para los cuerpos de seguridad.
Recientemente, la Policía Nacional compartió en redes sociales una advertencia sobre el uso de estos códigos con fines criminales. Alertando en un vídeo sobre cómo los ciberdelincuentes se aprovechan de su fiabilidad entre la población para cometer estafas y otros delitos cibernéticos. Tanto es así que un código qr basta para que éstos accedan a nuestros dispositivos móviles y, en consecuencia, a todo tipo de información sensible que almacenamos en su memoria.
¿En qué consiste el QRshing?
Valiéndose de todos los espacios donde se utilizan, la estafa a través de códigos QR –también llamada QRshing– está muy presente en el sector servicios. En especial, en cartas o carteles de corte informativo en hostelería, espacios de compraventa y otros tantos. Camuflados como el código original del responsable, su escaneo puede reconducir a falsas plataformas o webs de pago, donde se pide al usuario aportar sus datos bancarios y personales para luego usurparlos.
Según el Banco de España, además de la colocación de los adhesivos sobre el código QR real, existen distintos métodos de QRshing. Por ejemplo, a través de las sanciones de tráfico con QR que redirigen al usuario hacia una web fraudulenta donde, supuestamente, pagar la multa. O, en un método donde el delincuente está físicamente presente, cambiando el QR del pago de un servicio con su propia cuenta bancaria, robando el dinero y datos personales del cliente.
Asimismo, otro de los métodos empleados por los ciberdelincuentes es la combinación de QR con otros ciberdelitos. Como ahora la instalación de softwares maliciosos –malwares, con los que infiltrarse en los dispositivos conectados al código– o el acceso a páginas que suplantan el aspecto de webs reales para hacerse con los datos del usuario. Razón por la que detectar un indicio de ciberestafa por código QR precisa de analizar aquellos detalles que delatan su fraude.
España alcanza los casi 375.000 ciberdelitos en 2022
De los apenas 29.000 denunciados en 2011, en 2022 se registraron en España 374.737 delitos cometidos a través de las tecnologías de la información. De entre los cuales destacaron los mails fraudulentos en un 46,5% de los casos, según Statista. Aunque éstos se dirijan a particulares, las empresas no se salvan de ciberataques como el ransomware. Según el Instituto Nacional de Ciberseguridad (INCIBE), y junto al phishing, representando el 47% de las amenazas financieras.
El caso del QRshing, sin embargo, es harina de otro costal por la normalización de este recurso en el entorno pandémico. De hecho, las estafas con QR se triplicaron en el primer semestre de 2021, según la empresa de ciberseguridad Karpersky, aprovechando su expansión para evitar contagios por contacto. Durante el mismo periodo, según Proofpoint, también involucrados en el 71% de las campañas de phishing. Porciento preocupante ante el que cabe estar bien alerta.
¿Cómo evitar el QRshing?
Reconocer la existencia de un código QR falso depende, como se ha mencionado, del nivel de detalle que se preste a su análisis. Según recomienda el Banco de España, identificar https al inicio de la dirección web es una garantía mínima de seguridad. Además, las erratas, así como los enlaces acortados, también indician a menudo sospechas sobre su veracidad. Punto donde la Policía Nacional añade, si es posible, contrastar el código QR con su presunto responsable.
Otra opción a tener en cuenta es, en lugar de utilizar directamente el código, buscar en Internet la web a la que se quiere acceder de forma directa. Más aún si, al emplear el QR, ésta solicita algún tipo de información personal que no concuerde con la finalidad del código. Por otra parte, en caso de ser una empresa, cerciorarse de la fiabilidad de los propios códigos QR, es decir, comprobar que no hayan sido suplantados, debe ser un protocolo de ciberseguridad imperativo.
Finalmente, y aunque esto debería realizarse haya o no posibilidad real de ciberamenaza, el uso de softwares antivirus y/o anti-malware nunca está de más para proteger cualquier dispositivo. Existiendo incluso aplicaciones que permiten visualizar un enlace de forma previa a su apertura, como la app de Google Lens, instalada de fábrica en la mayoría de los smartphones. Todo es poco cuando se trata de combatir contra los delitos propios de la edad de oro de la digitalización.