Quishing
El quishing es phishing que entrega su enlace dentro de un código QR. El código es una imagen, así que la URL no es texto que una pasarela de correo pueda reescribir, puntuar o bloquear, y el escaneo suele ocurrir en un teléfono personal que queda fuera de todos los controles de red que opera la organización.
La evasión es estructural más que ingeniosa. La inspección de enlaces, la puntuación de reputación y la reescritura operan sobre el texto del cuerpo del mensaje; una imagen no lleva texto. El mensaje que rodea al código puede ser corto, limpio y libre de la fraseología que buscan los filtros de contenido, lo que también le ayuda a pasar la capa que si no lo marcaría.
La segunda mitad es el cambio de dispositivo. Escanear traslada a la víctima de un portátil gestionado, detrás de un proxy web y de un agente de endpoint, a un teléfono que no tiene ninguna de las dos cosas. El destino se carga en un navegador móvil donde la dirección aparece truncada, y si el objetivo se autentica ahí, la sesión resultante es una que la organización no puede ver. Los códigos impresos en papel y dejados en oficinas, aparcamientos o encima de la señalización existente eliminan el canal del correo por completo, así que DMARC y la autenticación del remitente no aportan nada.
La detección tiene que ocurrir, por tanto, a posteriori y en los registros de identidad en lugar de en la plataforma de correo: una autenticación desde un dispositivo no gestionado poco después de que llegara un mensaje. En un ejercicio incluimos este canal precisamente para probar si esa correlación existe, porque la mayoría de los parques solo se entera cuando alguien reporta el mensaje. Se ejecuta como uno de los escenarios de la simulación de phishing que incluye la entrega por QR en su conjunto de escenarios, junto al phishing convencional.