Seguridad al leer códigos QR

Hace un tiempo hablé de los posibles engaños usando códigos QR, además es algo muy fácil de hacer.

La forma de detectar estos engaños y no ser engañados es leer a qué URL o dirección nos envía ese QR antes de ir.

Esto se puede hacer con los ojos y también la propia apliicación de QR lo puede hacer para avisarnos de si es un fraude la URL destino.

He visto que existen sólo 2 aplicaciones que hacen esto, algo raro porque es elgo muy usado: Escaner QR de Trend Micro y QR Scaner de Lionic.

La solución de Lionic es de pago aunque hay versión gratuita.

La solución de Trend Micro (empesa de ciberseguridad muy conocida) es gratuita.

No he podido probarlas pero os podéis fijar en los comentarios que tienen las aplicaciones en Google Play.

Existe una aplicación Android no oficial de VirusTotal, empresa española, que analiza con varios antivirus cualquier cosa que se pueda, incluidas las URLs.

Casos de phising con QR

En este blog os he comentado posibles engaños o casos de phising.

Al final se dice phising lo que de toda la vida se llama estafa o engaño en castellano.

El QR es un códgo que nos enlaza a una web, a una descarga, a un email, a un teléfono... Es extremadamente fácil hacer picar a una persona con un QR que descargue malware.

Simplemente vemos un QR que ponga carta y ya está. ¿Lo habías pensado?, pues piénsalo porque es así de fácil.

Debemos saber que es muy fácil crear un engaño. La solución es mirar el dominio a donde nos quiere llevar ese QR, mirarlo 2 veces antes de acceder. Aquí también debes de recordar que para engañar también se pueden usas nombres de dominio parecidos al real, incluso con caracteres raros que parezcan determinadas letras.

Ejemplos serían:

Debemos saber que los proveedores de dominio no admiten caracteres raros, lo cual ayuda a evitar fraudes (aunque por regla general no se admitan, a veces hay sorpresas porque determinados caracteres son normales en otros paises y se pueden parecer mucho a los nuestros).

Cuando vayas a capturar un QR:

1. Captúralo.
2. Fíjate bien a qué URL te dirige.
3. Tócalo con el dedo sólo si confías.

Formato epub y la seguridad

Es interesante saber que los epub (electronic publication) en realidad son un archivo comprimido, como un zip.

En ese archivo comprimido podremos encontrar toda una estructura de archivos: metadatos, imágenes, css, xhtml...

La verdad que es muy fácil editar código en un epub para bien o para mal. Esto hace pensar más a la hora de descargar un libro de forma ilegal.

Cómo detectar spyware en el smartphone

Ahora que esta de moda el spyware Pegasus gracias al Gobierno de España, voy a aprovechar a escribir unas líneas sobre esto.

¿Qué es el spyware? El spyware es un tipo de malware para espiar. El spyware más típico es el keylogger que registra cada pulsación del teclado cuando escribes en un ordenador. Estos datos pueden almacenarse en un usb que deje el cibercriminal en el ordenador para luego recogerlo o enviarse vía Internet.

Hay spyware más o menos sofisticado aunque todos los que espían nuestros smartphone tienen algo en común: envían los datos espiados vía Internet.

Esto nos puede dar pistas si controlamos los datos usados vía wifi o por nuestra tarifa, esto no se camufla, es un hecho. En Android puedes configurar un límite de datos a usar, más o menos puede saber cuantos consumes en un uso normal... No uses wifi si quieres estar 100% seguro.

Otras pistas pueden ser ver cuanto almacenamiento tenemos libre o ver si el móvil se calienta y no está cargando.

Debes tener claro que sin conexión a Internet no hay espionaje.

Luego debes estar seguro de no caer en phishing ni abrir mensajes adjuntos de contactos no conocidos.

Seguridad en apps móviles

Hoy en día nos instalamos apps móviles casi sin pensar: la del banco, el GPS, antivirus...

Cada app instalada tiene una funcionalidad y esta puede ser manipulada y tener un nombre y diseño similar a la verdadera, esto es phishing, te engañan y obtienen datos (los que metas en la app vía formulario). Esto también puede venir acompañado de un troyano o de spyware (pueden reconocer datos de otras apps ya instaladas), este ataque es más avanzado.

Por eso es vital saber que app instalas, no sólo qué permisos das.

Instalar una app hace que abras una puerta de tu casa y si es un ladrón te robará todo lo que pueda, sin piedad. De ahí que es importante no descargar apps de cualquier sitio y reconocerlas.

Googlea el nombre de la app antes de instalar, fíjate en sus estrellas, pregunta a tu amigo friki 👨🏻‍💻... Instalar cualquier app es como abrir la puerta de tu casa, debes estar seguro. https://t.co/Q3MAZTqopw

— programadoroperador (@programadorOP) April 12, 2022

Esto pasa también en un ordenador con el software que instalas o con las webs que visitas.

El phishing también es común en SMS's y correos electrónicos.

Debes conocer que un móvil con Android o un iPhone son ordenadores.

Caso de phishing

Por primera vez me he podio enfrentar a un caso de phishing. En este caso no era un correo electrónico fraudulento si no una url.

He ayudado a bloquear ese dominio que suplantaba al legítimo. En este caso no ha sido difícil porque simplemente tenía que hacer un whois para averiguar el proveedor del dominio fraudulento para informarle por correo electrónico para que lo bloqué.

Al bloquear el primer dominio fraudulento a las 24 horas han creado otro, he hecho la misma acción. Estaré pendiente de si sigue esta campaña.

Combatir el phishing es fácil si lo sabes reconocer, hay que andarse con ojo.

Las url fraudulentas aparecían en primer lugar de Google gracias a Google Ads, Google no dice nada.