El Caso:

El director de una asesoría recibe en sus oficinas a un supuesto cliente que viene a pedir presupuesto. Mientras esperan en la sala de reuniones, el visitante aprovecha un descuido y pega un adhesivo discreto sobre el código QR que la asesoría tiene en el mostrador (el que usan habitualmente los clientes para conectarse a la WiFi de invitados o descargar la presentación corporativa).

El QR falso redirige a una web clonada que solicita descargar un «certificado de seguridad actualizado» para navegar. Al día siguiente, un empleado escanea el código desde la tablet corporativa, descarga el ejecutable y, en cuestión de minutos, se instala un stealer que captura las credenciales bancarias y las contraseñas del programa de facturación.

El Consejo:

• Auditad lo físico: No os limitéis a proteger la red por software; revisad periódicamente los códigos QR físicos que tengáis expuestos en recepción, mesas o carteles.
• Nunca descargues ejecutables tras un QR: Un código QR seguro te debe llevar a una página web informativa o a conectarte a una WiFi, nunca pedirte instalar archivos .exe, .apk o instalar perfiles de configuración en el dispositivo.
• Redes aisladas siempre: La red WiFi que ofrecéis a las visitas debe estar totalmente segmentada y separada de la red interna donde se manejan las facturas, las nóminas y las bases de datos de clientes.