Quishing: la trampa del código QR

Según Proofpoint, el método sigue cuatro etapas¹.

• Crear el código. Herramientas gratuitas en línea generan códigos QR que apuntan a un sitio de phishing o a un dominio que aloja software malicioso.
• Difundirlo. El código se coloca en un correo de phishing, en una factura falsa, en un cartel, en el menú de un restaurante, o se pega sobre un código QR legítimo.
• Empujar a actuar deprisa. Los mensajes invitan a actuar de inmediato, por ejemplo «Scan to unlock a discount» o «Verify your account».
• Aprovechar el escaneo. La víctima llega a una página de inicio de sesión falsa, a un sistema de captura de credenciales o a una descarga de software malicioso.

MITRE ATT&CK clasifica el phishing entre las técnicas de acceso inicial. Describe la suplantación de la identidad del remitente, que puede engañar tanto al destinatario como a las herramientas de seguridad automáticas, y el «thread hijacking» (secuestro de hilo): el atacante incluye a la víctima en una conversación existente cuyos mensajes contienen archivos o enlaces maliciosos⁵. La página de MITRE consultada no menciona los códigos QR: esos trucos son los del phishing en general.

El mensaje típico pide escanear un código, a menudo con un motivo apremiante. Proofpoint cita «Scan to avoid account suspension» como ejemplo de señuelo basado en la urgencia¹. Los códigos también se presentan como alertas de «verificación de cuenta» o avisos de envío, con un banco, una administración o un proveedor como remitente aparente¹.

En los lugares públicos, Proofpoint cita los menús de restaurante, los parquímetros, los carteles de tiendas y los folletos de eventos, con promesas de descuentos, acceso WiFi o contenido exclusivo¹. En la empresa, los códigos pueden esconderse en PDF u hojas de cálculo internos que se hacen pasar por encuestas o material de formación¹.

Una vez abierta la página, la CISA enumera las señales clásicas de phishing: lenguaje urgente o emocional, petición de datos personales o financieros, direcciones acortadas poco fiables, direcciones o enlaces con errores como «amazan.com»². Proofpoint cita por su parte «arnazon.com»¹. La CISA precisa que la antigua señal de las faltas de ortografía ya no es segura: en la era de la inteligencia artificial, algunos correos tienen una gramática perfecta².

El NCSC advierte de que ninguna formación permite detectar todos los intentos, y de que examinar cada correo al detalle no dejaría horas suficientes para el trabajo⁴.

Un código QR es una matriz legible por máquina que puede contener hasta 7 089 caracteres numéricos, o bien URL, y se accede a él con la cámara de un smartphone o una aplicación de lectura. Su diseño incluye corrección de errores, que le permite funcionar incluso estando parcialmente dañado¹.

En el lado de la defensa, Proofpoint describe varias capas. Los motores de análisis usan modelos de visión por computador para encontrar los códigos QR en los correos, decodificar las direcciones y evaluar su riesgo. El sandbox en línea extrae los códigos de los archivos adjuntos y simula la visita a las direcciones en un entorno aislado antes de la entrega. Según Microsoft, citada por Proofpoint, este control previo a la entrega bloqueó en 2024 alrededor de 1,5 millones de intentos de quishing al día¹.

Contra las credenciales robadas en estas páginas falsas, Proofpoint recomienda la autenticación multifactor, y los protocolos DMARC, SPF y DKIM contra los correos suplantados¹. El NCSC explica que DMARC impide que los autores de phishing suplanten el dominio de una organización, y que hacen falta varias capas de defensa en lugar de confiar solo en la vista de los usuarios, porque siempre habrá ataques que pasen⁴.

2023: facturas de empresa falsas

Proofpoint relata un ataque de 2023 que imitaba facturas de empresa. Los empleados eran dirigidos a portales de pago falsos¹. La página no nombra ni a la empresa objetivo ni al autor del ataque.

2024: menús de restaurante tapados

Según Proofpoint, una campaña de 2024 tuvo como objetivo cadenas de restaurantes al superponer códigos QR maliciosos sobre los menús impresos. Los clientes eran redirigidos a páginas de captura de credenciales que imitaban programas de fidelización¹. De nuevo, la fuente no da el nombre de ninguna cadena.

Estos dos casos proceden de una sola fuente comercial, que no da cifras de víctimas. El NCSC británico publicó además el 8 de febrero de 2024 una entrada titulada «QR Codes - what's the real risk?», de la que la página consultada solo reproduce el título y una frase de presentación³.