Los códigos QR se han convertido en una forma habitual de abrir enlaces, pagar facturas e iniciar sesión, pero esa misma rapidez permite a los atacantes llevar a las víctimas del mundo físico a una página web o acción de aplicación arriesgada en cuestión de segundos.

En campañas recientes, la imagen del QR no es la amenaza en sí misma; es un envoltorio de entrega que puede ocultar una larga cadena de redirecciones.

Además, también puede activar enlaces profundos dentro de aplicaciones o enviar el teléfono a una descarga directa que evita los controles de las tiendas de aplicaciones, algo conocido como quishing y que aparece en correos electrónicos y carteles.

Investigadores de Palo Alto Networks detectaron un aumento en la actividad maliciosa con QR, y en los últimos meses rastrearon campañas que combinaban phishing y estafas, afirmando que sus rastreadores ven alrededor de 75.000 códigos QR al día, de los cuales aproximadamente el 15% de esas páginas conducen a enlaces maliciosos, lo que suma más de 11.000 detecciones diarias.

Como la mayoría de los escaneos ocurren en móviles personales con controles más débiles que los equipos de escritorio gestionados, un solo escaneo puede sacarte del perímetro corporativo, llevarte a una página de inicio de sesión convincente e incluso desaparecer rápidamente cuando los atacantes usan acortadores de QR que pueden cambiar de destino o volverse inactivos después de unos días.

Enlaces profundos en aplicaciones y secuestros

Los enlaces profundos son URLs especiales que abren una pantalla específica dentro de una aplicación. Unit 42 observó más de 35.000 códigos QR que contenían enlaces profundos de Telegram como tglogin, donde los enlaces de inicio de sesión representaban el 97% de los casos en Telegram y aproximadamente uno de cada cinco sitios anfitriones parecía malicioso.

Mientras que otros señuelos intentaban vincular nuevas sesiones a cuentas de Signal, WhatsApp o Line, y algunos estaban altamente dirigidos contra usuarios ucranianos de Signal.

Palo Alto Networks también encontró enlaces profundos en aplicaciones en alrededor del 3% de los códigos QR, y advirtió que los defensores podrían pasar por alto el comportamiento posterior porque puede ser invisible para el análisis web normal, a menudo requiriendo un sandbox móvil con la aplicación objetivo instalada y una revisión caso por caso de los esquemas de URL personalizados.

Para reducir el riesgo, los equipos de seguridad deberían tratar los códigos QR como entrada no confiable, escaneándolos antes de que lo hagan los usuarios. También deberían ampliar la monitorización a imágenes de QR en páginas web y documentos, bloquear el abuso de acortadores de QR conocidos y restringir las instalaciones directas de APK después de que los investigadores observaran 59.000 detecciones vinculadas a 1.457 APKs distintos entregados mediante códigos QR.

Las organizaciones también deberían fortalecer el filtrado de correos electrónicos y web para detectar señuelos basados en QR y evitar redirecciones maliciosas. La formación continua en concienciación de usuarios puede reducir aún más la tasa de éxito del phishing impulsado por QR y las campañas de malware.

Para los usuarios, verifica siempre la fuente, previsualiza la URL completa antes de abrirla y evita las solicitudes urgentes de pago. Nunca apruebes inicios de sesión en aplicaciones o enlaces de dispositivos desde códigos QR aleatorios, mantén tu sistema operativo actualizado y desactiva la instalación de aplicaciones desconocidas.