Están utilizando códigos QR sin archivos de imagen para evadir las defensas del correo electrónico. Esta táctica convierte el marcado del correo en un código escaneable que redirige a las víctimas a una página de phishing, evitando que las herramientas de seguridad detecten el objeto de imagen habitual. De este modo, trasladan al usuario desde un ordenador de trabajo monitorizado hacia un dispositivo móvil.

Los hackers están utilizando códigos QR sin archivos de imagen para evadir las defensas del correo electrónico. Esta táctica convierte el marcado del correo en un código escaneable, redirigiendo a los destinatarios a una página de phishing mientras priva a muchas herramientas de seguridad del objeto de imagen que esperan inspeccionar.

El phishing mediante QR traslada a las víctimas de un ordenador de trabajo monitorizado a un dispositivo móvil. Un escaneo puede ocultar el destino hasta que el teléfono lo abra, y los atacantes pueden usar la página de destino para robar datos de inicio de sesión, datos de sesión, información de pago o entregar una descarga maliciosa.

Analistas de PhishU Framework identificaron la técnica tras examinar una forma de quishing que construye un patrón de QR directamente en el cuerpo del correo electrónico. Esto refleja el cambio en el que los atacantes alteran los formatos de entrega a medida que las pasarelas de correo mejoran en la detección de señuelos conocidos.

PhishU Framework indicó en un informe que este enfoque puede mostrarse incluso cuando las imágenes remotas están bloqueadas.

El informe describe una brecha, no un ataque imparable: las defensas que renderizan visualmente todo el mensaje e inspeccionan el resultado aún pueden identificar el código.

Utilizan códigos QR sin imágenes

Las estafas tradicionales de QR por correo electrónico incluyen un mapa de bits en un adjunto o en el cuerpo del mensaje. Una pasarela de correo segura puede extraer esa imagen, decodificar el enlace incrustado y examinar las redirecciones antes de decidir si el correo representa un riesgo.

El nuevo método elimina ese punto de partida. Pueden organizar cuadrados blancos y negros con tablas HTML o caracteres de bloque similares a texto, de modo que el cliente de correo dibuje un código QR como parte de su diseño.

La cámara de un teléfono ve el mismo patrón válido, pero un escáner que solo busca imágenes puede ver únicamente texto e instrucciones de estilo. Esa distinción explica por qué la técnica puede esquivar los controles creados para las estafas tradicionales basadas en imágenes y adjuntos.

Una campaña de phishing de códigos QR sin imágenes mostró cómo las tablas HTML densas pueden crear un código funcional que redirige a las víctimas a sitios web hostiles.

El ataque explota una debilidad humana familiar. Un correo que parece ser una factura, un documento compartido, una alerta de seguridad o un aviso de cuenta puede presionar al destinatario para que escanee en lugar de examinar un enlace clickable.

Cifras recientes de amenazas de phishing por correo electrónico muestran que los señuelos de QR siguen siendo una parte material de la actividad de phishing a medida que los criminales adaptan los adjuntos y los métodos de entrega.

Los defensores necesitan inspección visual

La lección central para los equipos de seguridad es dejar de tratar la ausencia de una imagen como prueba de que no hay un código QR presente.

La protección del correo debe renderizar el HTML sospechoso tal como lo vería el destinatario, escanear el resultado visual en busca de patrones de QR e inspeccionar cualquier destino recuperado antes de permitir que el mensaje pase.

Las reglas de detección también pueden buscar cuadrículas inusualmente densas de celdas diminutas alternas, atributos de color repetidos o bloques de caracteres dispuestos en un patrón de ancho fijo.

Estas señales no son automáticamente maliciosas, pero dan a los analistas una razón para revisar un correo cuyo diseño no coincide con la comunicación empresarial normal.

Los administradores deben mantener el bloqueo de imágenes remotas, pero no deben confiar en ello como una defensa completa contra el quishing. Deben probar su ruta de correo electrónico utilizando simulaciones autorizadas, confirmar si se detectan los códigos construidos mediante marcado y revisar la protección de enlaces después de la entrega.

La guía sobre la respuesta a ataques de códigos QR también enfatiza la vista previa de los enlaces decodificados y evitar introducir detalles de inicio de sesión o pago en un sitio al que se haya llegado a través de un código inesperado.

Para los empleados, la respuesta más segura es conductual más que técnica: no escanees un código QR no solicitado solo porque un correo diga que es urgente.

Verifica la solicitud a través de un canal conocido, inspecciona la dirección decodificada antes de abrirla y utiliza métodos de inicio de sesión resistentes al phishing siempre que sea posible.

El riesgo se vuelve más agudo cuando los atacantes utilizan un buzón de confianza, ya que el robo de credenciales a través de buzones comprometidos puede hacer que un señuelo parezca legítimo.

Este desarrollo es otro recordatorio de que la seguridad del correo electrónico debe evaluar qué hace un mensaje, no simplemente qué archivos contiene.

Los códigos QR ensamblados a partir de marcado siguen siendo visibles para las personas, por lo que el filtrado por capas, la inspección cuidadosa y la concienciación del usuario siguen siendo la forma más fiable de reducir la posibilidad de que un escaneo se convierta en la vulneración de una cuenta.

Fuentes:
https://cybersecuritynews.com/hackers-use-qr-codes/