Ingeniería social
La ingeniería social es un método de ataque que obtiene información confidencial de forma fraudulenta aprovechando no las vulnerabilidades técnicas, sino la psicología humana (confianza, miedo, curiosidad, urgencia). Incluye los correos de phishing, las llamadas de suplantación de identidad, el falso soporte técnico, la entrada siguiendo a otra persona (tailgating), etc. Incluso el sistema de seguridad más avanzado se ve superado si una persona cae en el engaño.
Los códigos QR se están utilizando de forma maliciosa como un nuevo vector de ingeniería social. Como se ha formado una confianza social en que "escaneando un código QR se obtiene información útil", los usuarios tienden a escanear los códigos QR sin dudar de su seguridad. Los atacantes aprovechan esta confianza con métodos como pegar pegatinas falsas sobre códigos QR legítimos, imprimir códigos QR en falsos avisos de multa de estacionamiento o colocar en lugares públicos falsos códigos QR para conectarse a una red Wi-Fi.
Especialmente ingenioso es el método que crea una sensación de urgencia. Un mensaje como "Tu cuenta está siendo utilizada de forma fraudulenta. Escanea ahora mismo este código QR para comprobarlo" aviva el miedo y la urgencia y nubla el juicio del usuario. Un código QR que, pensándolo con calma, resultaría sospechoso acaba escaneándose en un estado de pánico.
La base de las medidas es adquirir "el hábito de comprobar el origen del código QR". Tres hábitos reducen considerablemente el riesgo: comprobar si un código QR pegado en un lugar público ha sido sustituido por otro pegado encima, verificar el remitente de los códigos QR de los correos electrónicos y los SMS, y comprobar el dominio de la URL que se muestra tras el escaneo.