Los ciberataques de phishing con códigos QR –denominados quishing- han ido en aumento, y una investigación de Check Point Harmony Email detectó un nuevo tipo de amenaza, en la que el código QR no está en una imagen, sino que se crea mediante HTML y caracteres ASCII. Más de 600 correos electrónicos que seguían este patrón fueron descubiertos en el pasado mes de mayo.
Características de los ciberataques de quishing
En los ataques de quishing, en lugar de un enlace basado en texto, el sitio web malicioso se señala mediante un código QR, que el usuario escanea y su dispositivo lo lleva a esa URL. En un comienzo utilizaban solicitudes de autenticación MFA estándar y luego evolucionaron hacia el ataque de routing y objetivos personalizados. Ahora, estamos viendo una nueva tendencia hacia la manipulación de códigos QR.
Pequeños fragmentos de código son insertados en el HTML por los ciberdelincuentes. A simple vista, esto podría parecer un código QR estándar en un email, pero para un OCR no se detecta ninguna información relevante. Los atacantes usan plataformas online que generan automáticamente estos códigos maliciosos, los cuales pueden ser configurados para incluir enlaces dañinos.
El correo electrónico pretende ser una solicitud de autenticación en muchos casos de ataques de phishing con códigos QR. Sin embargo, la presencia de caracteres ASCII en el código QR puede engañar a los sistemas de seguridad para que interpreten el email como seguro.
Evolución del phishing de código QR
El phishing de código QR destaca por la rápida evolución que ha experimentado. Comenzó con códigos de verificación MFA estándar bastante sencillos que pedían a los usuarios que escanearan un código, ya fuera para restablecer la MFA o incluso para consultar datos financieros.
La segunda variante, QR Code Phishing 2.0, eran ataques de routing. El enlace busca dónde está interactuando el usuario con él y se ajusta. Si está en un Mac, aparece un enlace, si cuenta con un teléfono Android, aparece otro. También se han detectado campañas de códigos QR personalizados, que incluyen el logotipo de la empresa y el nombre de usuario correcto de forma dinámica.
Actualmente estamos viendo el Código QR 3.0, que es la representación de uno basada en texto. Esto hace que sea extremadamente difícil para los sistemas OCR verlo y detectarlo.
Cómo enfrentar los ciberataques
Las medidas para protegerse de estas amenazas incluyen las siguientes:
- Implantar una seguridad que descodifique automáticamente los códigos QR incrustados en los correos electrónicos y analice las URL en busca de contenido malicioso.
- Utilizar seguridad que reescriba el código QR incrustado en el cuerpo del email y lo sustituya por un enlace seguro y reescrito.
- Implementar seguridad que utilice IA avanzada para buscar múltiples indicadores de phishing.
