La creciente amenaza de los esquemas de phishing basados en códigos QR
En los últimos años ha surgido un nuevo tipo de ciberataque debido a la popularidad de los códigos QR como una forma rápida y sencilla de compartir información. Las empresas se ven cada vez más expuestas al quishing, también conocido como phishing con códigos QR. Los correos electrónicos de phishing contienen códigos QR que los hackers utilizan para obtener datos privados.
Los códigos de barras bidimensionales, conocidos como códigos QR (códigos de respuesta rápida), pueden contener URL, información de contacto y otros datos. Normalmente, al escanear un código QR con un teléfono inteligente, se abre un sitio web o se realiza una acción como añadir un contacto o llamar a un número. La capacidad de los códigos QR para proporcionar contenido digital rápidamente ha propiciado su amplia aceptación en diversos sectores, como el marketing, la banca, el comercio minorista e incluso los servicios gubernamentales.
Sin embargo, la facilidad de uso de los códigos QR también ha llamado la atención de ciberdelincuentes que explotan esta tecnología para realizar ataques de phishing. Estos ataques utilizan códigos QR para dirigir a los usuarios a sitios web fraudulentos, robar información confidencial o instalar software malicioso en sus dispositivos.
Cómo funcionan los ataques de phishing con códigos QR
Un ataque de phishing con códigos QR generalmente sigue un método sencillo pero efectivo que se aprovecha de la confianza de los usuarios en los códigos QR y su facilidad de manipulación.
Creación y distribución de códigos QR maliciosos
El primer paso en un ataque de phishing con código QR consiste en crear un código QR dañino. Los ciberdelincuentes suelen usar generadores de códigos QR para diseñar códigos personalizados que dirigen a los usuarios a sitios web de su elección. Estos sitios pueden parecerse a plataformas auténticas, como portales de banca en línea, páginas de inicio de sesión en redes sociales o sitios web de comercio electrónico. Para engañar aún más a los usuarios, los atacantes pueden emplear servicios de acortamiento de URL para ocultar el destino real, lo que dificulta que los usuarios detecten la URL maliciosa de inmediato.
La siguiente fase consiste en difundir el código QR malicioso. Los atacantes pueden distribuirlo a través de diversos canales, como correos electrónicos de phishing, mensajes de texto, redes sociales, ubicaciones físicas (como carteles, folletos o anuncios) o incluso sitios web falsos.
El sitio web o la acción maliciosa
Una vez que el usuario escanea el código QR, se le redirige a un sitio web fraudulento diseñado para simular una plataforma legítima. Por ejemplo, un ataque de phishing con código QR podría conducir a una página de inicio de sesión bancaria falsa, donde se le solicita al usuario que ingrese su nombre de usuario, contraseña y otros datos personales. En otros casos, los atacantes pueden crear sitios que generen miedo o urgencia, como alertas de seguridad falsas de bancos o proveedores de correo electrónico.
La explotación de información sensible
El atacante puede explotar la información de la víctima con diversos fines maliciosos tras introducirla en la página de phishing. Esto podría incluir fraude financiero, robo de identidad, acceso ilegal a cuentas o la venta de información personal de la víctima en la dark web. Hasta que se accede a sus cuentas o se usurpa su identidad, la víctima podría no ser consciente de que ha sido víctima de un ataque de phishing.
La información robada puede usarse para atacar a otros miembros de la red de la víctima o para enviar mensajes de phishing a los contactos de la víctima en un intento de propagar el ataque.
Principales Conclusiones
- Hemos detectado una nueva tendencia de correos electrónicos de phishing que contienen códigos QR incrustados en archivos PDF y XLSX.
- Los códigos QR que conducen a sitios web de phishing ahora se colocan en archivos adjuntos PDF y XLSX, en lugar de incluirse directamente en el cuerpo del correo electrónico.
- Estos ataques tienen como objetivo robar credenciales de inicio de sesión con fines maliciosos.
Las 2 entidades más suplantadas
- Microsoft: La suplantación de identidad más común de Microsoft consiste en informar al objetivo que su autenticación multifactor o su cuenta está a punto de caducar. Se le informa al destinatario que perderá el acceso a su cuenta si no sigue las instrucciones del atacante para hacer clic en un enlace o descargar un archivo.
- DocuSignCon frecuencia, se solicita al destinatario que examine y firme documentos suplantando la identidad de DocuSign. Los ciberdelincuentes pueden fingir que el documento proviene de un administrador corporativo o no proporcionar ninguna información.
Gráfico de Quishing detectado usando archivos PDF
Durante los últimos cuatro meses, hemos notado que aproximadamente el 25% de todos los ataques de phishing incluyen un código QR y un archivo PDF.
Objetivos de la campaña
La campaña se dirige principalmente a empresas, aunque en ocasiones también puede ser personal. Durante el segundo semestre de 2024, el porcentaje de objetivos de los ataques de phishing fluctuó entre activos personales y organizacionales.
- Los activos organizacionales son el objetivo de dos tercios de los ataques.
- 1/XNUMX de los datos financieros y otros activos personales del objetivo.
En la mayoría de las muestras examinadas, los estafadores se hacen pasar por empresas reconocidas. En más de la mitad de los ataques, se suplanta la identidad de Microsoft, incluyendo SharePoint y OneDrive, seguido de DocuSign y otros.
Campañas como Coper Trojan, CherryLoader y Star Blizzard utilizan códigos QR incrustados en documentos fraudulentos para robar información personal y financiera y distribuir malware.
Ejemplos de ataques de Quishing
- Este correo electrónico de phishing, que imita a DocuSign, solicita al destinatario que revise y firme documentos escaneando un código QR en un PDF adjunto. Una vez escaneado, redirige a una página falsa de Microsoft.
- A los destinatarios de este correo electrónico de phishing se les pidió que escanearan el código QR para acceder al documento confidencial de Partnership Distribution. Una vez escaneado el código, se les redirigió a una página falsa donde se les solicitó una contraseña para acceder al documento.
- Este correo electrónico de phishing, que simula provenir de DocuSign, solicita a los destinatarios que escaneen el código QR de un PDF adjunto para revisar un documento de "Acuerdo de Distribución de Acciones". Tras escanearlo, redirige a una página falsa de Microsoft.
Los peligros del phishing con códigos QR
Los ataques de phishing con códigos QR pueden ser extremadamente peligrosos por varias razones:
- Falta de visibilidad: A diferencia de las URL en correos electrónicos o mensajes, los códigos QR no son legibles por humanos, por lo que los usuarios no pueden verificar fácilmente adónde lleva el enlace. Esto facilita que los atacantes oculten sitios web maliciosos y engañen a los usuarios para que accedan a ellos.
- Mayor confianza en los códigos QR: Los códigos QR suelen percibirse como una forma rápida, eficiente y segura de acceder a la información, lo que lleva a las personas a confiar más en ellos que en los enlaces tradicionales. Esta confianza errónea hace que el phishing con códigos QR sea particularmente efectivo.
- Velocidad de ejecución: Escanear un código QR suele ser rápido y automático, lo que deja poco tiempo a los usuarios para examinar el enlace o tomar decisiones prudentes. Este proceso rápido resulta atractivo para los atacantes que buscan explotar las vulnerabilidades de los usuarios con rapidez.
- Amplia distribución: Los códigos QR se pueden compartir fácilmente en diversas plataformas, como redes sociales, correo electrónico y ubicaciones físicas, lo que les permite llegar a una gran audiencia. Un código QR malicioso colocado en un área pública podría ser escaneado por cualquier persona que pase por allí, ampliando así el alcance del ataque.
Reconocer códigos QR falsos: indicaciones típicas
Hay varios indicadores que pueden ayudarle a detectar códigos QR falsos.
- Las sospechas pueden surgir cuando se descubren códigos QR en objetos inesperados, como paquetes al azar, parquímetros u otros lugares comunes.
- Antes de escanear un código QR, verifique siempre que no tenga errores ortográficos, lenguaje inapropiado o discrepancias con el nombre o el emblema de la empresa.
- Un icono de candado en la barra de direcciones, que significa una conexión segura, o una verificación rápida de la URL asociada con el código QR pueden revelar si se redirecciona a un sitio web falso.
- Además, tenga cuidado si recibe códigos QR no solicitados por mensaje de texto o correo electrónico. Para engañar a las víctimas y que revelen información personal, los estafadores suelen usar mensajes de phishing para transmitir códigos QR falsos.
Tácticas de ataque MITER observadas
| Táctica ATT&CK | Técnica ATT&CK |
| ACCESO INICIAL | Suplantación de identidad (phishing):Archivo adjunto de phishing selectivo [T1566.001] |
| EJECUCIÓN | Ejecución del usuario::Enlace malicioso [T1204.001] |
| ACCESO A CREDENCIALES | Captura de entrada::Captura del portal web [T1056.003] |
| EVASIÓN DE DEFENSA | Suplantación de identidad [T1656] |
| COMANDO Y CONTROL | Codificación de datos: Codificación estándar [T1132.001] |
Cómo Seqrite Protéjase contra los ataques de phishing mediante códigos QR.
Seqrite Ofrece diversas medidas de seguridad para proteger a los usuarios de ataques de phishing con códigos QR. Así es como ayudan:
- Phishing antifraude Protección:: Seqritela parte minorista Aplicación antifraude de Quick Heal Ofrece protección contra el phishing de códigos QR al escanearlos antes de permitir que los usuarios visiten el sitio web vinculado. Si el código QR dirige a un sitio sospechoso o fraudulento, la aplicación bloqueará el acceso o alertará al usuario.
- Detección de amenazas en tiempo real: Seqrite Endpoint Protection puede detectar enlaces o URL maliciosos incrustados en códigos QR. Si un código QR conduce a un sitio web sospechoso o dañino, Seqrite Endpoint Protection La función de escaneo en tiempo real puede bloquear el sitio web antes de que cause daño.
- Detección del comportamiento: Seqrite EDR Utiliza análisis de comportamiento para detectar actividades maliciosas en tu dispositivo. Esto incluye la identificación de aplicaciones sospechosas o malware que podrían instalarse mediante redirecciones de códigos QR, lo que garantiza la detección temprana y la prevención.
- Seguridad móvil: Seqrite Gestión de movilidad empresarial (EMM) Ofrece protección para dispositivos Android contra códigos QR maliciosos e intentos de phishing. Escanea códigos QR en busca de amenazas, bloquea aplicaciones dañinas y ofrece protección de navegación para proteger a los usuarios del phishing y el malware.
Al proporcionar estas capas de protección, Seqrite Quick Heal ayuda a los usuarios a protegerse contra las amenazas de phishing basadas en códigos QR.
