Con la creciente demanda de carros eléctricos, ESET advierte que aumentan los ataques mediante códigos QR falsos que buscan robar datos en las estaciones de recarga.

En los últimos años, muchos países y regiones de todo el mundo han apostado rápidamente por los carros eléctricos. 

Solo en 2023 se inscribieron unos 14 millones de coches nuevos, un aumento anual del 35% que eleva el total mundial a más de 40 millones. 

Pero las nuevas tecnologías traen consigo nuevas amenazas. ESET, compañía líder en detección de amenazas, alerta sobre grupos delictivos que están combinando amenazas físicas y virtuales para robar los datos de pago de quienes conducen este tipo de vehículos.

“Uno de los últimos trucos consiste en utilizar técnicas de suplantación de identidad mediante códigos QR, conocidas como "quishing", para espiar o robar datos de pago. De hecho, no es muy diferente de los trucos que utilizan códigos QR falsos en los parquímetros, y quienes conducen vehículos eléctricos deben tener cuidado con este tipo de amenaza en las estaciones de recarga”, comenta Camilo Gutiérrez, jefe del Laboratorio de Investigación de ESET Latinoamérica.

Nueva modalidad 

El quishing resulta de la mezcla entre las palabras phishing y código QR. Los estafadores colocan códigos QR falsos sobre los auténticos. 

Cuando estos son escaneados, llevan a las víctimas a un sitio de phishing para recoger sus credenciales/información o descargar malware. 

“Es una táctica especialmente eficaz porque no despierta el mismo nivel de sospecha entre los usuarios que, por ejemplo, las URL de phishing. Además, los dispositivos móviles suelen estar menos protegidos que los portátiles y los equipos de escritorio, por lo que hay más posibilidades de éxito. Un informe de finales del año pasado señalaba un aumento del 51% en los incidentes de quishing en septiembre frente a enero-agosto de 2023”, agrega el especialista de ESET Latinoamérica.

En este caso, los delincuentes encontraron una forma de adaptar la estafa a la nueva moda de los vehículos eléctricos que recorre el mundo. 

Según informes del Reino Unido, Francia y Alemania, los estafadores están pegando códigos QR maliciosos encima de los legítimos en las estaciones de recarga públicas. 

El código debe llevar a los usuarios a un sitio web donde pueden pagar la electricidad al operador de la estación (por ejemplo, Ubitricity). 

Sin embargo, si escanean el código falso, serán conducidos a un sitio de suplantación de identidad similar que les pedirá que introduzcan sus datos de pago, que serán recopilados por los ciberdelincuentes. 

Un código QR suele ser una opción más rápida y atractiva que dedicar tiempo a descargar varias aplicaciones de recarga.

Evitando riesgos

Desde ESET se comparten algunas sencillas medidas que se puede implementar para mitigar el riesgo de quishing mientras se está fuera de casa:

• Fijarse bien en el código QR y posibles señales de alarma. ¿Parece como si estuviera pegado encima de otra cosa, o forma parte del signo original? ¿Es de diferente color o tipo de letra que el resto de la señal, o parece fuera de lugar de alguna otra manera? 
• Nunca escanear un código QR a menos que aparezca en el propio terminal del parquímetro.
• Considerar la posibilidad de pagar únicamente a través de una llamada telefónica o de la aplicación oficial de recarga del operador correspondiente.
• Desactivar la opción de realizar acciones automáticas al escanear un código QR, como visitar un sitio web o descargar un archivo. Después de escanearlo, observar la URL para comprobar que se trata de un dominio legítimo asociado al servicio, en lugar de una URL sospechosa.
• Analizar el sitio web al que dirige el código QR ¿Contiene errores gramaticales u ortográficos, o hay algo que parezca extraño? Si es así, puede tratarse de un sitio de phishing.
• Llamar directamente al operador del cobro si algo no parece correcto
• Muchos parquímetros ofrecen múltiples formas de pago, como tarjeta de crédito, pagos NFC o monedas. En caso de no sentirse cómodo escaneando un código QR, considerar la posibilidad de utilizar una de estas alternativas para evitar el riesgo de interactuar con un código fraudulento.
• Si se ha sufrido una estafa, congelar la tarjeta de pago y denunciar el posible fraude al banco/proveedor de tarjetas. Comprobar el extracto bancario en busca de transacciones sospechosas.
• Utilizar la autenticación de dos factores (2FA) en todas las cuentas que ofrezcan una capa adicional de seguridad. Esto ayuda a proteger la cuenta incluso si un estafador consigue redirigirle a un sitio web fraudulento y robar las credenciales.
• Asegurarse de que el dispositivo móvil tiene instalado un software de seguridad de un proveedor de confianza.

Con más de 600.000 puntos de recarga de vehículos eléctricos en Europa, los estafadores tienen muchas oportunidades de fraude. 

Si quieres mantenerte actualizado con noticias de tecnología, Celu.pe es tu mejor opción.