Alerta: QRishing – CSIRT Córdoba

Estafas con falsos QR de multas en vehículos estacionados

Se ha reportado nuevamente en la ciudad de Córdoba, una variante de QRishing en la que estafadores dejan una notificación para cobro de multas a vehículos estacionados en la vía pública como se muestra en la Figura 1.

Imagen de la boleta fraudulenta — Figura 1: Aviso de QRishing.

El papel dejado en el vehículo incluye un código QR que al ser escaneado redirige a una página fraudulenta donde se pueden solicitar datos personales, bancarios, códigos de acceso a aplicaciones u otra información sensible o se descarga un archivo o se solicita un pago como parte del engaño.

Este tipo de ataque ha sido detectado y se reitera en diversas ciudades de Argentina y de otros países y busca engañar a conductores desprevenidos, quienes, preocupados por la supuesta multa, ingresan su información en sitios fraudulentos.

Ningún organismo oficial utiliza este medio para comunicar la existencia de multas por mal estacionamiento.

Análisis del Código

Cuando se estudia el código QR de la Figura 1, se observa lo siguiente:

El código QR lleva al siguiente enlace: https://myqrcode.mobi/3c3aa5e1
Al accederlo, redirige al siguiente enlace: https://myqrcode.mobi/qr/disabled
Cuando se accede a este último enlace se observa el mensaje de la Figura 2.

Al analizar el enlace con Virustotal se observa los mensajes de la Figura 3 y Figura 4.

Figura 3: Virustotal marca como malicioso el enlace

Figura 4: El enlace ha sido utilizado para ataque de Phishing

Paso a paso de un ataque de QRishing

Creación: Los atacantes crean o alteran un QR para que parezca legítimo. Utilizan el código QR como vector de ataque.
Distribución: Ubican el código QR en lugares estratégicos o lo envían por medios digitales.
Engaño: Atraen víctimas con promociones falsas, facturas o boletas engañosas y otras técnicas de ingeniería social.
Robo de datos: Al escanear el código QR e ingresar información en un sitio falso, los atacantes pueden capturar datos “interesantes”.
Explotación: Utilizan los datos “interesantes” para llevar adelante fraudes financieros, robo de identidad o venderla en la dark web.

¿Cómo evitar el Qrishing?

Mantener la calma frente a solicitudes de acciones urgentes.
Evitar escanear QR desconocidos en la vía pública o QR de notificaciones sospechosas que lleguen al domicilio.
Si es necesario acceder a un sitio para regularizar una multa, ingresar manualmente a la URL oficial.
Abstenerse de enviar información personal, realizar pagos o descargar archivos de un sitio accedido a través de un QR.

Consejos para propietarios de QR

Si posee un emprendimiento que utiliza QR, procurar que su QR esté protegido detrás de un vidrio o esté a la vista pero no al alcance físico de los usuarios para evitar que sea reemplazado o modificado ya que los delincuentes los sustituyen por versiones fraudulentas.

Acciones adicionales recomendadas

Verificar en VirusTotal la URL asociada al código antes de interactuar con él.
Desconfiar de enlaces acortados.
Utilizar antivirus y herramientas de seguridad que analicen enlaces antes de abrirlos.
Siempre prestar atención al contexto y a los detalles.
Mantener el software del dispositivo actualizado.

Antecedentes