Al parecer, el 60% de los códigos QR en correos electrónicos son spam y debemos tener mucho cuidado con los pequeños cuadrados pixelados que escaneamos con nuestras cámaras.
Resulta que nuestros sofisticados filtros anti-spam están completamente desconcertados por los códigos QR.
El viaje de los códigos de barras tradicionales a los códigos QR marca una evolución significativa en la tecnología de almacenamiento de datos. Antes de 1994, los códigos de barras estándar, esas buenas líneas paralelas que se encuentran en los productos de supermercado, solo podían almacenar hasta 80 caracteres. Reconociendo esta limitación, se desarrollaron los códigos de Respuesta Rápida (QR), capaces de contener más de 7,000 caracteres numéricos o 4,300 alfanuméricos. ¿Una mejora, verdad?
A pesar de que los códigos QR representan solo una pequeña fracción del contenido de correo electrónico (aproximadamente uno de cada 500 correos electrónicos), plantean un desafío de seguridad único. Estos cuadrados aparentemente inocentes se han convertido en una herramienta efectiva para eludir los filtros de spam, con investigaciones de Cisco Talos que indican que el 60% de los códigos QR en correos electrónicos están relacionados con el spam. El uso más preocupante implica intentos de phishing, especialmente para robar credenciales de inicio de sesión a través de solicitudes falsas de autenticación multifactor. El riesgo de seguridad se incrementa cuando los usuarios escanean códigos QR en dispositivos móviles. Cuando alguien escanea un código malicioso utilizando datos celulares en lugar de Wi-Fi corporativa, la conexión subsiguiente ocurre fuera de los sistemas de seguridad de la empresa, lo que dificulta que las organizaciones detecten posibles amenazas.
¡Algunos códigos QR son seguros! ” Crédito de la imagen – Apple
Lo que hace que estos códigos sean particularmente difíciles de defenderse es su naturaleza basada en imágenes. Los filtros de spam luchan con un proceso de tres pasos: primero deben reconocer un código QR dentro de una imagen, luego descifrarlo y finalmente analizar los datos incrustados. Añadiendo a esta complejidad, algunos creadores han desarrollado “arte de códigos QR”, imágenes que disfrazan astutamente códigos QR dentro de diseños artísticos, haciéndolos aún más difíciles de identificar.
Estas imágenes integran los puntos de datos de un código QR en diseños artísticos, haciéndolos parecer como obras de arte regulares en lugar de códigos QR reconocibles. Sin embargo, el riesgo con el arte de códigos QR radica en su potencial para engañar a los usuarios. Alguien podría escanear inadvertidamente una imagen de este tipo y ser dirigido al contenido vinculado sin darse cuenta de que era un código QR funcional.
Los expertos en seguridad recomiendan tratar los códigos QR con la misma precaución que las URL desconocidas. Si bien es imposible evitar completamente los códigos QR en el mundo actual, los usuarios pueden protegerse utilizando decodificadores de QR en línea para previsualizar la información codificada antes de escanear. Estas herramientas permiten la inspección de los datos subyacentes sin arriesgar la seguridad del dispositivo. Además, al iniciar sesión en servicios, es más seguro acceder a los sitios web directamente en lugar de a través de enlaces de códigos QR.
Para aquellos que necesitan compartir o estudiar códigos QR potencialmente peligrosos, Cisco Talos ha identificado métodos efectivos para “desactivarlos”, similar a como las URL sospechosas a menudo se escriben con “hxxp” en lugar de “http”. Esto se puede hacer ya sea oscureciendo los módulos de datos del código (los cuadrados blancos y negros) o eliminando los patrones de detección de posición (los grandes cuadrados en tres esquinas), haciendo que el código no sea legible para los escáneres.
Sobre todo, ¡mantente vigilante!