Seguridad de los códigos QR - Precauciones para usarlos con seguridad

Riesgos de seguridad que se esconden en los códigos QR

El código QR es una tecnología cómoda que permite acceder a una URL con solo acercar el smartphone, pero precisamente por esa facilidad también conlleva riesgos de seguridad. El mayor problema es que con solo mirar un código QR no se puede comprobar la URL de destino del enlace. Por eso, aunque alguien sustituya un código legítimo pegando otro encima, ni quien lo coloca ni quien lo usa puede darse cuenta a simple vista.

Con un enlace de texto tradicional, se puede comprobar la URL a simple vista antes de hacer clic. Sin embargo, como en el código QR la información está codificada en un patrón de puntos en blanco y negro, el ojo humano no puede distinguir el destino del enlace. En todo el mundo están aumentando los ataques que se aprovechan de esta característica.

Métodos de ataque representativos

Los ataques que se aprovechan de los códigos QR siguen varios patrones. Conocer los métodos representativos es el primer paso de la defensa.

• QR Phishing (Quishing): método que consiste en distribuir códigos QR que llevan a sitios falsos que se hacen pasar por servicios legítimos. Se hacen pasar por bancos, servicios de pago, empresas de mensajería y otros, y roban credenciales de inicio de sesión o números de tarjeta de crédito. También están aumentando los casos en los que se adjunta un código QR a un correo electrónico.
• Sustitución de códigos QR: método físico en el que el atacante pega un código QR falso encima del código QR legítimo colocado en una tienda o una instalación pública. Se han registrado en el extranjero casos de sustitución de códigos QR para pagar el aparcamiento.
• Distribución de malware: método que consiste en incitar a instalar una aplicación maliciosa desde el destino del enlace del código QR. Con mensajes falsos como "Necesitas una actualización de seguridad", hacen que se descargue una aplicación fraudulenta.
• Abuso de la conexión Wi-Fi: método que consiste en colocar un código QR configurado para conectarse automáticamente a una red Wi-Fi maliciosa e interceptar las comunicaciones. Es un riesgo que puede darse en lugares públicos como cafeterías o aeropuertos.

Medidas que deben poner en práctica los usuarios particulares

Presentamos las medidas que deben poner en práctica los usuarios particulares que usan los códigos QR a diario para garantizar su seguridad.

• Comprueba la URL después de escanear: después de leer un código QR, comprueba siempre la URL que se muestra antes de que se abra el navegador. Revisa si es un dominio legítimo y si contiene cadenas de caracteres sospechosas.
• Comprueba HTTPS: comprueba si el destino del enlace empieza por HTTPS. En los sitios que solo usan HTTP, las comunicaciones no están cifradas y existe el riesgo de que se intercepte la información.
• Ten cuidado con los códigos QR de los lugares públicos: los códigos QR colocados en aparcamientos, restaurantes, transporte público y otros lugares podrían haber sido sustituidos. Comprueba si hay una pegatina superpuesta y si está colocado de forma natural como parte del material impreso.
• Mantén actualizados el sistema operativo y las aplicaciones: si actualizas el sistema operativo y el navegador del smartphone a la última versión, puedes evitar los ataques que se aprovechan de vulnerabilidades conocidas.
• No escanees códigos QR sospechosos: evita escanear códigos QR de origen desconocido, códigos QR pegados en la calle y códigos QR incluidos en correos electrónicos sospechosos.

Medidas de seguridad que deben tomar las empresas / las tiendas

A las empresas y tiendas que aprovechan los códigos QR en su actividad se les exigen medidas para que nadie se aproveche de sus propios códigos QR y mecanismos para proteger a sus clientes.

• Revisión periódica de los códigos QR: comprueba periódicamente que los códigos QR colocados en la tienda o en las instalaciones no hayan sido sustituidos. Hay que prestar especial atención a los códigos QR colocados en lugares a los que puede acceder un número indeterminado de personas.
• Gestión de las URL cortas: si usas URL cortas en los códigos QR y alguien se apodera de la cuenta del servicio de URL cortas, existe el riesgo de que se manipule el destino del enlace. Activa la autenticación de dos factores, que según se indica puede evitar más del 99% de los inicios de sesión no autorizados en la cuenta, y revisa periódicamente los registros de acceso.
• Aprovechamiento de los códigos QR dinámicos: si usas un código QR dinámico, cuyo destino del enlace se puede cambiar después, puedes desactivar el destino del enlace de inmediato cuando surja un problema. Sin embargo, también hay que comprobar la seguridad del propio servicio de códigos QR dinámicos.
• Indicar la URL legítima junto al código QR: si muestras como texto la URL de destino cerca del código QR, el usuario puede comprobar la URL a simple vista y aumenta la resistencia a los ataques de sustitución.
• Formación en seguridad para los empleados: enseña a los empleados que manejan códigos QR cómo comprobar si se han sustituido y el procedimiento para informar de códigos QR sospechosos.

Seguridad en el pago con código QR

El pago con código QR está muy extendido también en Japón, pero como implica dinero de forma directa, requiere una conciencia de seguridad especialmente alta.

• Riesgos del modelo en que la tienda muestra el código (MPM): es el método en el que la tienda muestra un código QR y el cliente lo escanea para pagar. Existe el riesgo de que, al sustituir el código QR, el destinatario del pago pase a ser la cuenta del atacante.
• Seguridad del modelo en que el cliente muestra el código (CPM): es el método en el que la tienda escanea el código QR que se muestra en el smartphone del cliente. Como el código QR se genera de forma dinámica y su plazo de expiración es corto, se considera más seguro que el MPM.
• Protección de la aplicación de pago: configura la autenticación biométrica o el bloqueo con código en la aplicación de pago para evitar el uso fraudulento si pierdes el smartphone.

En los códigos QR relacionados con pagos, el equilibrio entre comodidad y seguridad es especialmente importante.

Artículo relacionado: consulta también la corrección de errores de los códigos QR.

Resumen del uso seguro de los códigos QR

Usado correctamente, el código QR es una herramienta muy cómoda, pero es importante usarlo después de comprender los riesgos de seguridad que pueden surgir. Ordenamos los puntos.

• Después de escanear, comprobar siempre la URL y no acceder a enlaces sospechosos
• Sospechar que los códigos QR colocados en lugares públicos pueden haber sido sustituidos
• Mantener siempre actualizados el sistema operativo y las aplicaciones
• Las empresas deben revisar periódicamente los códigos QR y formar a sus empleados
• Tratar con especial cuidado los códigos QR de pago y reforzar la configuración de seguridad de las aplicaciones

Para disfrutar con seguridad de la comodidad de los códigos QR, úsalos con conciencia de seguridad en el día a día.

La comodidad de los códigos QR y sus riesgos de seguridad son dos caras de la misma moneda.