Códigos QR: ¿Amenaza a la ciberseguridad?

Todos conocemos y hemos usado los códigos QR. Con la crisis del coronavirus y el auge de los pagos sin contacto, este cuadrado relleno de formas en blanco y negro es una de las herramientas tecnológicas que más se ha utilizado durante la reactivación económica este último año, ya que cumple con uno de los requerimientos más importantes de toda la pandemia: distanciamiento social. Con los QR no fue necesario imprimir menús para un restaurante, los consumidores solo tenían que sacar el celular y escanear el código correspondiente para leer la carta; una forma sencilla de cuidar la salud y, por supuesto, el medio ambiente.

Además del rubro gastronómico, su función de condensar una tarea específica en una imagen codificada y su bajo costo, convirtieron a los QR en los favoritos de la mayoría de compañías para ejecutar cualquier proceso: ir a un sitio web específico, agendar una reunión e incluso para conseguir los datos de contacto de algún negocio en particular.

Sin embargo, así como esta útil herramienta es muy simple y práctica para el día a día de las personas, también es una manera fácil y rápida para robar información de los usuarios y cometer delitos cibernéticos. Según BeyondTrust, compañía norteamericana líder en la administración de accesos privilegiados, hay varias maneras en las que los códigos QR pueden significar una amenaza para la ciberseguridad:
 

• Teléfono celular: Al escanear un código QR, se carga o inicia automáticamente una llamada telefónica a un número predefinido. Con todos los recientes ataques de robocall y SIM Jacking, este es otro método para que un alguien acceda, sin permiso, a tu teléfono e identidad. 
   
• Correo electrónico: Al escanear un código QR, se almacena un mensaje de correo electrónico completo con el asunto y el destinatario. Todo lo que se requiere es pulsar enviar y esto podría ser el comienzo de cualquier forma de ataque de phishing o spear phishing.
• Sitio web o URL: Escanear un código QR puede lanzar y redirigir automáticamente a un sitio web. El contenido podría contener malware, un exploit u otro contenido no deseado que comience un ataque inminente y represente una amenaza a tus datos.
   
• Red Wi-Fi: Este código QR almacena las credenciales Wi-Fi para la conexión y autenticación automática de la red. Si se tiene en cuenta todas las amenazas de las redes Wi-Fi abiertas e incluso de las redes cerradas que utilizan WPA2, la conexión a una red desconocida no debería estar en la lista de actividades más seguras.
   
• Tienda de aplicaciones: El escaneo de enlaces a una página directamente en una tienda puede hacer que una aplicación sea sencilla de descargar. Aunque esto es conveniente, el listado podría ser malicioso o podría ser una página falsa que utiliza una URL incrustada para engañarte y hacer que cargue una aplicación maliciosa no autorizada. 

La realidad es que, creando una imitación y basándose en su aspecto visible, un cibercriminal puede alterar fácilmente el código, pegarlo sobre uno real y, a menos que escanees uno, no tendrás ni idea de qué es lo que contiene. Por eso es importante no escanear cualquier código que se presente en tu camino.