Robando sesiones de WhatsApp con QRLJacking
Se trata de un conjunto de técnicas de ingeniería social para atacar aplicaciones que utilizan código QR como método para registración.
El objetivo es convencer a las víctimas de escanear el código QR y tomar el control de su sesión en forma remota.
Cómo funciona el ataque QRLJacking
Código QR (del inglés ‘Quick Response’ o de respuesta rápida) es un código de barras mejorado que incluye un enlace a un contenido alojado en internet.
En el caso de WhatsApp, utiliza ese código para validar el acceso de los usuarios a su sistema, sin ningún tipo de validación adicional.
Pero entonces, ¿qué hacen los cibercriminales? Desarrollan herramientas que capturan y almacenan la imagen del código QR generado por la aplicación WhatsApp y crean un nuevo código QR para mostrar a la víctima.
Luego de estos pasos, la sesión de la víctima queda almacenada en el sistema de los atacantes y puede ser utilizarla en determinadas ocasiones.
El hecho que exista la posibilidad de comprometer a los usuarios de una determinada aplicación, como es el caso de WhatsApp, significa que todas las aplicaciones que utilicen códigos QR pueden sufrir ataques similares.
Cómo evitar ser víctima de QRLJacking
Elaboramos algunas recomendaciones para tener en cuenta:
- Actualizar de manera constante los programas y aplicaciones. Esta acción brinda nuevos recursos y corrigen eventuales problemas de seguridad.
- Mantener los programas de seguridad activados y configurados para bloquear amenazas, (smartphones y computadoras).
- Desconfiar si algún enlace publicitario solicita que el usuario escanee un código QR a cambio de algún beneficio o como parte de un proceso de validación, independientemente del sitio o marca que represente el anuncio.
- Evitar iniciar sesión con nuestras cuentas en navegadores y ordenadores que no sean de total confianza.
- En caso de dudas, en la pantalla principal de WhatsApp seleccione la opción “WhatsApp Web” y cierre todas las sesiones que fueron iniciadas. Esto hará que los criminales pierdan acceso el acceso a la cuenta de WhatsApp de sus víctimas de forma inmediata.
- Es posible revisar los ordenadores que tienen acceso a la aplicación Web, eliminando el permiso a todos para evitar estos problemas.
Derecho Informático está formado por un grupo de profesionales que brindan asesoramiento jurídico especializado en derecho informático, pericias informáticas, protección de datos personales y delitos informáticos en Argentina.
Mas información www.derechoinformatico.ar