Los códigos QR se han convertido en algo habitual en nuestra vida cotidiana. Los ciberdelincuentes aprovechan esto para difundir enlaces fraudulentos, redirigir a portales trampa o instalar aplicaciones maliciosas.
Gracias a las simulaciones que pongo en marcha, sus empleados aprenderán a analizar un código QR antes de escanearlo.
¿Qué es el quishing?
El quishing es un ataque que utiliza un código QR falsificado para redirigir al usuario a un sitio fraudulento, recuperar sus credenciales o desencadenar una acción peligrosa en su dispositivo.
El objetivo: aprovechar el reflejo «escaneo sin pensar» para eludir los bloqueos de seguridad habituales (filtros de correo electrónico, protecciones antiphishing).
Estos ataques suelen dirigirse contra:
- los empleados que se desplazan,
- los usuarios que escanean carteles, entradas o soportes impresos,
- los equipos que utilizan aplicaciones profesionales mediante códigos QR,
- los puntos de recepción o lugares abiertos al público.
¿Por qué simular el quishing?
- Para concienciar sobre los riesgos asociados a una tecnología considerada «inofensiva».
- Para aprender a verificar la legitimidad de un soporte antes de escanearlo.
- Para limitar los riesgos relacionados con conexiones fraudulentas, portales falsos y redireccionamientos engañosos.
- Para responsabilizar a los usuarios sobre los usos móviles.
¿Cómo funciono?
-
1. Creo códigos QR realistas.
Genero códigos QR que conducen a páginas falsas que imitan servicios internos, logísticos o administrativos.
-
2. Difundo estos códigos QR en diversos soportes.
Correos electrónicos, carteles internos, tickets falsos, campañas móviles... según sus usos reales.
-
3. Analizo las reacciones.
Escaneos, apertura de la página, introducción de información: evalúo la vigilancia frente a este formato.
-
4. Explico inmediatamente las señales de alerta.
Muestro lo que debería haber llamado la atención: ubicación, contexto, URL, solicitud inusual...
-
5. Proporciono un resumen de los comentarios recibidos.
Con una visión clara de los equipos más vulnerables a este tipo de ataques.
Las buenas prácticas esenciales
- Compruebe el origen del soporte antes de escanear.
- Desconfíe de los códigos QR en lugares públicos, pero también en el ámbito profesional.
- Analiza siempre la URL antes de continuar.
- Nunca introduzca sus datos de identificación tras un escaneo inesperado.
- Notifique cualquier código QR sospechoso a su servicio de asistencia interno.
