### Crece la sofisticación en estafas de brushing y quishing: señales clave y cómo protegerse
#### Introducción
El auge del comercio electrónico y la proliferación de nuevos métodos de entrega han traído consigo un incremento notable de ciberataques y fraudes vinculados al envío de paquetes y correspondencia. Entre estos destacan las estafas conocidas como *brushing* y *quishing*, así como otras modalidades asociadas a la entrega de paquetes. Estos esquemas de ataque no solo explotan debilidades técnicas y operativas en las cadenas logísticas y los sistemas de mensajería, sino que también aprovechan la ingeniería social para comprometer tanto a usuarios particulares como a empresas. En este artículo, analizamos en profundidad cómo operan estas amenazas, los vectores técnicos involucrados y las mejores prácticas para su detección y mitigación.
#### Contexto del Incidente o Vulnerabilidad
El *brushing* consiste en el envío no solicitado de paquetes a víctimas, con el objetivo de manipular reseñas y valoraciones en plataformas de comercio electrónico, lo que puede derivar en la recolección ilícita de datos personales. En paralelo, el *quishing* (phishing mediante códigos QR) ha ganado popularidad entre los actores de amenazas, quienes lo emplean para redirigir a las víctimas a sitios de phishing, distribuyendo malware o robando credenciales bajo la apariencia de notificaciones legítimas de entrega. Estas técnicas suelen combinarse con campañas de smishing, phishing tradicional y llamadas fraudulentas (*vishing*) para aumentar la tasa de éxito.
De acuerdo con el informe anual de Kaspersky y datos de la ENISA, en 2023 se observó un incremento del 22% en incidentes relacionados con fraudes de entrega en Europa, afectando tanto a consumidores como a empresas de logística y retail.
#### Detalles Técnicos
Las campañas de brushing y quishing emplean una variedad de TTPs (Tácticas, Técnicas y Procedimientos) alineadas con el framework MITRE ATT&CK, notablemente:
– **T1566.001 (Phishing: Spearphishing Attachment):** Envío de emails suplantando a empresas de mensajería, con adjuntos maliciosos o enlaces a páginas falsas.
– **T1204.001 (User Execution: Malicious Link):** Inclusión de enlaces o códigos QR en mensajes SMS, emails o notificaciones push.
– **T1608.002 (Upload Tool: Upload Malware):** Distribución de cargas útiles a través de sitios web clonados, accesibles vía QR.
– **T1589 (Gather Victim Identity Information):** Recolección de datos personales mediante formularios fraudulentos.
Los indicadores de compromiso (IoC) más relevantes incluyen:
– URLs acortadas o dominios similares a los de empresas de mensajería reconocidas (ej. dhl-express-verify.com).
– Códigos QR que redirigen a portales de autenticación falsos.
– Paquetes recibidos sin pedido previo, con remitentes desconocidos y datos personales parcialmente correctos.
– Mensajes SMS con errores ortográficos o remitentes no verificados.
En cuanto a exploits y frameworks, se ha detectado el uso de kits de phishing adaptados para móviles, así como la integración de payloads en campañas de brushing para instalar spyware o troyanos una vez que el usuario interactúa con el contenido enviado. Herramientas como Metasploit y Cobalt Strike han sido identificadas en algunos incidentes de post-explotación, especialmente en ataques dirigidos a empresas logísticas.
#### Impacto y Riesgos
El impacto de estos fraudes es múltiple. Desde la obtención ilícita de datos personales, que pueden ser revendidos en mercados clandestinos (Dark Web), hasta el acceso a cuentas bancarias, plataformas de e-commerce o sistemas internos de empresas de logística. Las organizaciones pueden enfrentar sanciones bajo el Reglamento General de Protección de Datos (GDPR) o NIS2, así como pérdidas económicas derivadas de fraude, daño reputacional y costes de remediación.
Según cifras recientes, el coste medio de un incidente de brushing para una empresa europea supera los 120.000 euros, incluyendo la gestión de crisis, notificación a afectados y sanciones regulatorias.
#### Medidas de Mitigación y Recomendaciones
Para minimizar el riesgo, los expertos recomiendan:
– **Implementar políticas de verificación de remitentes** en plataformas de e-commerce y mensajería.
– **Formación continua** al personal y usuarios sobre técnicas de ingeniería social, identificando señales de fraude.
– **Bloqueo y monitorización de dominios sospechosos** mediante Threat Intelligence y soluciones EDR.
– **Filtrado de enlaces y validación de códigos QR** en comunicaciones internas y externas.
– **Revisión periódica de logs y análisis de IoC** asociados a brushing y quishing.
– **Notificación inmediata a autoridades y afectados** en caso de brecha, siguiendo directrices GDPR y NIS2.
#### Opinión de Expertos
Especialistas de Kaspersky y la Agencia Española de Protección de Datos (AEPD) subrayan que el brushing, aunque a menudo percibido como una molestia menor, supone una amenaza real a la privacidad y la seguridad. El quishing, por su parte, representa un vector de ataque en alza, especialmente peligroso en entornos BYOD y con la adopción masiva de servicios móviles. “La clave está en la detección temprana y en la educación del usuario final, así como en la cooperación del sector logístico y tecnológico”, afirma Elena García, analista senior de ciberamenazas.
#### Implicaciones para Empresas y Usuarios
Las empresas deben revisar y reforzar sus procedimientos de autenticación de envíos y comunicación con clientes. El uso de autenticación multifactor, la validación cruzada de pedidos y la integración de soluciones anti-phishing adaptadas a dispositivos móviles son esenciales. Los usuarios, por su parte, deben desconfiar de entregas no solicitadas, evitar escanear códigos QR de remitentes desconocidos y comprobar siempre la legitimidad de los mensajes recibidos.
#### Conclusiones
El auge de las estafas de brushing y quishing confirma la evolución constante de las técnicas de ingeniería social y la necesidad de respuestas adaptativas en ciberseguridad. La colaboración entre empresas, proveedores de servicios logísticos y organismos reguladores será determinante para mitigar este tipo de amenazas en un mercado cada vez más digital y expuesto.
(Fuente: www.kaspersky.com)