La ciberseguridad se ha convertido en uno de los temas más importantes en el mundo actual, especialmente para las empresas que almacenan grandes cantidades de datos de sus clientes y sus propios activos. Una de las últimas tendencias en el mundo de la ciberdelincuencia es el Quishing. Aunque el phishing ya es una amenaza desde hace años, el quishing lleva estas técnicas a un nuevo nivel utilizando códigos QR como herramienta de ataque. ¿Cómo funciona exactamente el quishing y por qué es una amenaza creciente?
Tabla de contenidos:
- Definición de quishing
- ¿Cómo funciona el quishing?
- ¿Por qué el quishing es cada vez más popular?
- Ejemplos de ataques de quishing
- ¿Quién es más vulnerable al quishing?
- ¿Cuáles son los riesgos de la pesca?
- ¿Cómo te proteges del quishing?
- ¿Por qué podrían no funcionar las salvaguardias tradicionales?
- Quishing en los negocios
- El futuro de la pesca
- Preguntas más frecuentes
Definición de quishing
El quishing es una nueva forma de ataque de phishing que utiliza códigos QR para dirigir a las víctimas a sitios web falsos. Es un cruce entre las palabras “QR” y “phishing”. El phishing tradicional consiste en enviar correos electrónicos o mensajes SMS falsos para que los usuarios hagan clic en un enlace y faciliten sus datos personales o de acceso. En el caso del quishing, los ciberdelincuentes incluyen códigos QR en los correos electrónicos que, al ser escaneados por la víctima, redirigen a sitios web maliciosos.
El código QR puede parecer una herramienta segura y cómoda, ya que se utiliza habitualmente para escanear información rápidamente, por ejemplo en restaurantes, eventos o campañas publicitarias. Sin embargo, en realidad, escanear un código desconocido puede ser muy arriesgado.
¿Cómo funciona el quishing?
Al igual que los ataques de phishing tradicionales, el objetivo del quishing es obtener acceso no autorizado a datos sensibles del usuario, como del usuario, como datos de acceso, números de tarjetas de crédito e incluso contraseñas de cuentas bancarias. El proceso de ataque puede dividirse en varios pasos:
- Primer paso: enviar un correo electrónico
Los ciberdelincuentes envían correos electrónicos falsos que parecen comunicaciones auténticas de bancos, empresas tecnológicas, servicios online o incluso oficinas gubernamentales. En lugar de los enlaces habituales, los mensajes contienen un código QR. - Segundo paso: escanear el código QR
Cuando la víctima escanea el código QR con su teléfono móvil, es redirigida a un sitio web malicioso. Este sitio web puede parecer idéntico a una página de inicio de sesión auténtica o a otro servicio de confianza, lo que dificulta que el usuario reconozca la estafa. - Paso tres: introducción de datos
La víctima introduce sus datos de acceso u otra información sensible, sin darse cuenta de que se los acaba de dar a los ciberdelincuentes. Los atacantes pueden obtener ahora acceso completo a la cuenta de la víctima, lo que a menudo conduce al robo de identidad o financiero.
¿Por qué es cada vez más popular el quishing?
Una de las principales razones de la creciente popularidad del quishing es que los usuarios no sospechan que los códigos QR son una amenaza potencial. Mucha gente es consciente de los peligros de hacer clic en enlaces sospechosos, pero pocos esperan que un simple código QR pueda utilizarse para cometer fraude.
Los códigos QR se han convertido en algo habitual en la vida cotidiana: se utilizan para todo, desde los menús de los restaurantes hasta las campañas publicitarias. La gente suele escanearlos sin pensar, lo que da a los ciberdelincuentes la herramienta perfecta para lanzar ataques.
La popularidad del trabajo a distancia y el auge de los dispositivos móviles en las empresas también han contribuido al aumento de los ataques de quishing. Tras la pandemia del COVID-19, muchas empresas han adoptado modelos de trabajo a distancia, lo que naturalmente ha aumentado el número de interacciones digitales y el riesgo de ciberataques.
Ejemplos de ataques de quishing
Ataque al sector bancarioEn un ejemplo de quishing, los ciberdelincuentes enviaron correos electrónicos falsos a clientes de bancos afirmando que necesitaban verificar sus cuentas. El correo contenía un código QR que, al escanearlo, conducía a una página que parecía la de inicio de sesión de un banco. En realidad, era una página falsa y los datos de acceso fueron interceptados por los hackers.- Ataque a las empresas tecnológicas
En otro caso, los empleados de una empresa tecnológica recibieron correos electrónicos supuestamente del departamento interno de TI, pidiéndoles que actualizaran la contraseña de su cuenta de empresa. Un código QR contenido en el correo electrónico conducía a un sitio de phishing, que permitía a los ciberdelincuentes hacerse con el acceso a los recursos de la empresa. - Ataque a usuarios de redes sociales
Los usuarios de populares redes sociales como Facebook e Instagram fueron atacados mediante falsas notificaciones de verificación de cuenta. Tras escanear un código QR, los usuarios eran conducidos a una página de inicio de sesión falsa donde introducían sus datos, que luego eran robados por los ciberdelincuentes.
¿Quién es más vulnerable al quishing?
El quishing puede afectar a cualquiera, pero determinados grupos de usuarios y organizaciones son más vulnerables a este tipo de ataque:
- Empresas del sector financiero
Los empleados de bancos, compañías de seguros e instituciones financieras son objetivos frecuentes de los ciberdelincuentes, ya que tienen acceso a datos financieros y personales críticos de sus clientes. - Empresas tecnológicas
Las organizaciones que tienen acceso a tecnología sofisticada o gestionan los datos de millones de usuarios son objetivos atractivos para los ataques de quishing. Los piratas informáticos pueden utilizar cuentas secuestradas para extraer información sensible o incluso robar propiedad intelectual.
Usuarios particularesAunque los ataques de quishing suelen dirigirse a empresas, los usuarios particulares también pueden ser víctimas de estos ataques. Pueden ser el objetivo a través de notificaciones falsas de redes sociales, tiendas online o aplicaciones bancarias.
¿Cuáles son los riesgos de la pesca?
El quishing no es sólo una amenaza para los datos personales, sino también para la seguridad financiera y la integridad de los sistemas. Los impactos pueden incluir:
- Robo de identidad: Una víctima que facilite sin saberlo sus datos de acceso puede quedar expuesta a un robo de identidad, que puede dar lugar a más fraudes.
- Pérdida de fondos: Introducir datos bancarios en un sitio fraudulento puede provocar la pérdida de dinero de tu cuenta.
- Apropiación de cuentas: Los piratas informáticos pueden apoderarse de las cuentas de redes sociales u otras cuentas de la víctima, lo que puede dar lugar a nuevos ataques a sus amigos y compañeros.
¿Cómo te proteges del quishing?
Educación del usuario
Uno de los pasos más importantes para prevenir los ataques de quishing es la educación de los usuarios. Los empleados y usuarios finales deben ser conscientes de los riesgos asociados a los códigos QR desconocidos. Deben estar informados de cómo es un ataque típico de quishing y qué señales de advertencia pueden indicar una posible estafa.
Proteger los dispositivos móviles
Los dispositivos móviles, que son la principal herramienta para escanear códigos QR, deben estar debidamente protegidos. Para ello, vale la pena
- Utiliza programas antivirus.
- Actualiza regularmente el software y las aplicaciones del sistema.
- Desactiva la apertura automática de sitios web tras escanear un código QR.
Software de seguridad
Las empresas pueden implantar software de seguridad a nivel de red que escanee automáticamente el contenido de los códigos QR e identifique posibles amenazas. También pueden desplegarse mecanismos para supervisar la actividad de los usuarios y detectar comportamientos inusuales.
¿Por qué podrían no funcionar las salvaguardias tradicionales?
Uno de los mayores retos del quishing es que las herramientas de seguridad tradicionales, como los filtros de spam o el software antivirus, pueden no ser capaces de identificar eficazmente la amenaza. Los códigos QR son más difíciles de controlar y muchos usuarios desconocen los riesgos de escanearlos.
Quishing en los negocios
Con el aumento de los ataques de suplantación de identidad, las empresas deben adoptar un enfoque proactivo de la ciberseguridad. La aplicación de una política de seguridad de la información y la formación periódica del personal pueden reducir significativamente el riesgo de éxito de los ataques. Un personal bien formado puede reconocer mejor los mensajes sospechosos y reaccionar cuando detecta códigos QR peligrosos.
Por ejemplo, las organizaciones pueden establecer procedimientos que exijan una verificación adicional cuando se escaneen códigos QR de fuentes desconocidas. El uso de la autenticación multifactor (MFA) para el acceso al sistema puede proteger aún más los datos corporativos, incluso si los ciberdelincuentes interceptan los datos de acceso.
El futuro de la pesca
Debido a la creciente popularidad de los códigos QR y a su integración en diversos ámbitos de la vida, se prevé que el quishing será cada vez más frecuente. A medida que las tecnologías se desarrollen y evolucionen, los ciberdelincuentes buscarán nuevas formas de explotar las herramientas existentes.
La amenaza del quishing también puede contribuir a una mayor regulación del uso de los códigos QR para aumentar la seguridad de los usuarios. Es posible que se exija a las empresas que utilicen elementos de seguridad al generar y compartir códigos QR, y los usuarios tendrán que ser más conscientes de los riesgos asociados a escanearlos.
Preguntas más frecuentes
1. ¿Cuáles son las principales señales de advertencia de que un código QR puede ser peligroso?
- Códigos QR incrustados en correos electrónicos sospechosos o desconocidos.
- Códigos QR colocados en lugares públicos que parecen inapropiados, como en anuncios o carteles.
- Solicitudes de datos personales o de inicio de sesión tras escanear un código QR.
2. ¿Hay alguna forma de comprobar la seguridad de un código QR antes de escanearlo?
Sí, hay aplicaciones que permiten escanear el código QR y mostrar el enlace antes de que el usuario haga clic en él. Esto te permite ver a dónde conduce el código antes de decidir abrirlo.
3 ¿Qué debo hacer si sospecho que he sido víctima de quishing?
Cambia inmediatamente las contraseñas de las cuentas que puedan haber sido comprometidas. Informa del incidente a tu entidad o servicio financiero, y considera la posibilidad de denunciar el asunto a la policía. Vigila tus cuentas bancarias y otros servicios en línea para detectar transacciones no autorizadas.
4 ¿Qué medidas de seguridad deben adoptar los empresarios para protegerse del quishing?
Las empresas deben invertir en formación periódica sobre ciberseguridad para los empleados, implantar procedimientos para el uso de códigos QR y utilizar mecanismos de verificación multicomponente para el acceso a sistemas importantes.
