Cómo hacer un #QRCode para crear un "Boarding Pass" de Clase Business y entrar a la sala VIP "Like a Boss"

Supongo que a muchos de vosotros os habrá pasado en alguna ocasión algo similar. Estas en el aeropuerto con un vuelo en Clase Turista y no puedes entrar a la sala VIP a disfrutar de la WiFi, un café o algo de comer. Y piensas algo como: "Lo bien que me vendría entrar ahora allí para relajarme tranquilamente estas dos horas que tengo de espera". Que duros momentos en la vida de un viajero.

Figura 1: Cómo hacer un #QRCode para crear un "Boarding Pass"
de Clase Business y entrar a la sala VIP "Like a Boss"

Si os habéis fijado, en muchas de las salas VIP lo único que hacen es escanear el QRCode del billete para ver si es un vuelo autorizado, un transporte en tren autentico, y da acceso para estar en la sala VIP. En la mayoría de los casos necesitas un billete de Clase Business y que salga en un plazo de tiempo concreto, si no, no hay forma de entrar. 

Figura 2: QRCode en billete de tren de Renfe

Si vas en un vuelo con un compañero que tenga un billete de Clase Business y tú no, un truco sencillo es hacer una copia al QRCode en el terminal móvil y que las dos personas usen el mismo. Claro, cuando la segunda persona va a usar el QRCode para entrar, sale una alerta que dice que el pasajero ya está dentro de la sala VIP, por lo que hay que dejar unos minutos de tiempo y usar la ingeniería social: "Hola, estaba dentro y he salido un segundo, ¿necesito escanear el código billete otra vez?". Esto lo he visto hacer yo hace mucho, mucho tiempo en un aeropuerto de un país muy, muy lejano.

Figura 3: Billete de Vueling con QRCode

Pero lo más hacker es hacer ingeniería inversa de los valores que hay en ese billete QRCode, que como ya vimos en el artículo de Miguel Ángel Hernández "QR Code Leaks" no es tan complejo, y hacerse un billete ad-hoc a tus necesidades. Tienes servicios online que te permiten decodificar QRCodes y otro tipo de códigos de barras. Aquí tienes uno:

Figura 4: Online QRCode Decoder

Esto es lo que ha hecho un investigador de seguridad mediante una app para Android donde solo tiene que darle los datos del vuelo del que quiere el billete, y se crea una QRCode funcional para las salas VIP. Aquí tenéis el vídeo de cómo funciona esto.

Figura 5: Fake Boarding-Pass para acceder a sala VIP

Por supuesto, esto también valdría para muchos otros entornos en los que el QRCode es el ticket de acceso al evento, recinto o servicio.

Figura 6: DonRamon y Perchita intentan falsificar un QRCode

Eso sí, tienes que hacerlo bien, no vaya a ser que te salga como en este anuncio que se hizo de Cálico Electrónico en el que DonRamon y Perchita intentaban falsificar un QRCode. Eso no es muy hacker.

SaludosMalignos!