Hola,

primero de todo, no te preocupes, nadie ha robado tus datos. Esto es una simulación de ataque QR supervisado por la administración de Konery. Por favor, no comunique esta información a ninguna otra persona. ¡Gracias! 

Dejamos aquí un poco más de información al respecto. Recomendamos leerlo detenidamente:

Fuente: https://www.incibe.es/protege-tu-empresa/blog/protege-los-codigos-qr-y-no-pongas-riesgo-seguridad-tus-clientes

¿Qué son y para qué se usan?

Los códigos QR están formados por módulos bidimensionales compuestos por puntos diferenciados entre sí por colores de un alto contraste en los que se almacena distinta información, pudiendo ir desde unos pocos caracteres hasta varios miles. Algunos expertos lo consideran una evolución del tradicional código de barras, además se encuentra estandarizado por la norma ISO/IEC 18004:2015.

Entre los usos que pueden tener destacan:

• La inserción de un enlace para acceder a una página web (campaña de marketing) a información turística o a los servicios y productos de un establecimiento.
• La inserción de la información de la red de una conexión wifi (el nombre de la red o SSID, la contraseña de acceso, y el tipo de cifrado que utiliza la red).
• El acceso directo a la descarga de aplicaciones en mercados oficiales o de la web del fabricante.
• Protección de contenido alojado en documentos confidenciales.
• Generación de contraseñas de un solo uso (OTP) o códigos cifrados para el acceso a servicios como, por ejemplo, WhatsApp Web. También destaca como doble factor de autenticación para bastionar el acceso a determinados productos y servicios online.
• Para garantizar la trazabilidad de los productos en el sector del transporte y la logística.
• En los países asiáticos está extendido su uso como forma de pago a través del móvil en clara competencia con el NFC.
• Para acceder a sistemas de transporte (autobús, avión, etc.), zonas de ocio (conciertos, museos, exposiciones, etc.) o a zonas reservadas para clientes y usuarios como, por ejemplo, la sala de espera vip de una compañía aérea.

Amenazas y riesgos a través de códigos QR

Entre los riesgos que pueden sufrir los clientes debido al uso de estos códigos en tu negocio, destacan los siguientes:

• Ataques de tipo phishing (Qrishing): Esta técnica se combina junto con la ingeniería social para lograr que los usuarios proporcionen sus credenciales mediante el escaneo de un código QR contenido en una página web, mensaje o correo electrónico. El usuario al escanearlo es redirigido a una página web, que suplanta a la de la empresa y solicitando información confidencial. Hay que tener en cuenta que si el usuario no verifica la dirección web, puede ser engañado fácilmente.
• Descarga de malware o inyección de código malicioso: Mediante el uso de sitios web maliciosos para distribuir malware contra los usuarios de dispositivos móviles, a través de la inyección de código malicioso (mediante un exploit presente en la página web a la que redirige el código QR) o de un ataque Drive by download. Se caracteriza por la descarga de manera forzada de software malicioso cuando el usuario visita el sitio web. El sitio web malicioso está diseñado para explotar las vulnerabilidades presentes en el dispositivo a nivel de software (sistema operativo, navegador u otro tipo) pudiendo realizar múltiples acciones maliciosas, como unirse a una botnet (por ejemplo, para realizar un ataque DDOS contra un sitio web legítimo), filtrar la información confidencial, suscribirse a servicios premium o visualizar anuncios de forma silenciosa sin que el usuario lo sepa, obtener acceso a diferentes elementos del dispositivo (micrófono, cámara…), acceder a los datos del navegador o enviar correos electrónicos. Todas estas acciones ocurren en segundo plano, por lo que los usuarios no son conscientes de estos comportamientos.
• Qrljacking o secuestro de sesión: Este tipo de ataque se caracteriza por hacer uso de la ingeniería social para secuestrar la cuenta de un servicio que acepte la función “Inicio de sesión con código QR”. Para ello tratan de engañar a la víctima para que escanee un código QR modificado que suplanta al original que ha sido capturado previamente por los ciberdelincuentes. Al escanearlo, el atacante captura las credenciales de la sesión de la víctima y accede de forma encubierta a la información contenida dentro de la cuenta. La demostración más famosa de este ataque tuvo como ejemplo el servicio de WhatsApp web.

Consejos y recomendaciones

Entre las recomendaciones y buenas prácticas que debes tener en cuenta en tu negocio para que tanto tu como tus clientes evitéis ser víctimas de dichos ataques, destacan:

• Comprobar de forma frecuente que los códigos QR presentes en tu negocio no han sido cambiados ni modificados por terceras personas.
• Elegir un generador de códigos QR o un servicio que ofrezca las suficientes garantías de seguridad en materia de generación de códigos QR, enlace correcto al servicio, etc.
• Comprobar que el código QR redirige a la página indicada, es decir, que apunta a la página o servicio que dice apuntar. Para ello usaremos apps de lectura que permitan consultar la URL antes de abrirla.
• Deshabilitar la apertura automática de enlaces al escanear un código QR. De esta manera se podrá comprobar la dirección a la que enlaza el código. Solo se abrirá en el caso de que demos permiso para acceder
• Chequear que la URL es de un sitio confiable y coincide con la que se indica en la carta, tríptico o anuncio.
• En el caso de uso de códigos QR que faciliten el acceso a unos servicios determinados de transporte, ocio o áreas reservadas, no divulgues el código QR por redes sociales ya que podrías ser víctima de un fraude.

Si tienes dudas, llama al 017, la Linea de Ayuda en Ciberseguridad de INCIBE. Expertos en la materia resolverán cualquier conflicto online relacionado con el uso de la tecnología y los dispositivos conectados.