Estafas con códigos QR (quishing): cómo detectarlas y proteger a tus clientes

Los códigos QR se han vuelto tan cotidianos que la mayoría de la gente los escanea sin pensar. Los estafadores lo saben. El quishing (de QR y phishing) es el uso de códigos QR para llevar a la víctima a una web fraudulenta que roba contraseñas, datos de tarjeta o instala software malicioso. Esta guía explica cómo funciona y cómo protegerse, tanto si escaneas códigos como si los pones en tu negocio.

Por qué funciona tan bien

Un enlace sospechoso en un correo se puede leer antes de pulsarlo; un QR no. Es un dibujo que no dice adónde lleva hasta que lo escaneas. Además, se escanea con el móvil, donde la barra de direcciones es pequeña y es más difícil notar que bancoo-seguro.com no es tu banco. Y muchos filtros de correo antiguos analizan los enlaces de texto pero no «leen» las imágenes con códigos QR.

Las modalidades más habituales

Pegatinas falsas sobre códigos legítimos

Es la variante más extendida. El estafador pega su propio QR encima del original en un parquímetro, un punto de recarga de coches eléctricos, un cartel de bicicletas compartidas o la mesa de una terraza. El usuario escanea, llega a una página de pago que imita a la oficial y mete los datos de su tarjeta. Ayuntamientos de distintos países han emitido avisos por este tipo de fraude en parquímetros.

Correos y cartas con QR

Mensajes que imitan al banco, a una empresa de mensajería, a Hacienda o al departamento de informática de tu empresa («tu contraseña caduca hoy, escanea para renovarla»). El QR lleva a una página de inicio de sesión falsa.

QR en paquetes no solicitados o en folletos

Un folleto en el buzón o un paquete que no has pedido con un código «para ver tu premio» o «para confirmar la entrega».

Consejos para escanear con seguridad

• Mira la dirección antes de abrirla. Tanto la cámara del iPhone como la de Android muestran el dominio antes de abrir el enlace. Léelo: ¿es de verdad el sitio que esperas?
• Desconfía de los QR pegados encima de otros o con los bordes despegados, sobre todo en parquímetros, cargadores y cajeros.
• Para pagar, usa la app oficial del servicio (parking, transporte, tu banco) en lugar de un QR de la calle.
• Nunca introduzcas contraseñas en una página a la que has llegado por un QR recibido por correo. Entra tú directamente en la web o la app.
• Un QR de WiFi solo debe conectarte a una red; si al escanearlo te pide instalar algo o introducir datos personales, desconfía.

Si quieres ver la dirección completa de un código sin llegar a abrirla, haz una foto y súbela a nuestro lector de códigos QR: muestra el dominio por separado y avisa cuando el enlace está acortado, no usa https o lleva una dirección numérica en lugar de un nombre.

Qué puede hacer un negocio para proteger a sus clientes

• Revisa tus códigos con regularidad. Escanea de vez en cuando los QR de tus mesas, escaparate y mostrador para comprobar que siguen llevando a tu destino y que nadie ha pegado otro encima.
• Hazlos difíciles de sustituir. Un QR impreso directamente en el soporte (o un soporte de mesa impreso en 3D con el código en relieve) es mucho más difícil de suplantar que una pegatina.
• Usa tu propio dominio. Si el QR lleva a turestaurante.com/carta, el cliente ve un nombre que reconoce. Un enlace acortado genérico genera más desconfianza, con razón.
• Pon tu marca en el código. Tu logo en el centro y los colores de tu negocio hacen que un QR ajeno pegado encima destaque.
• No pidas pagos por QR en papel si puedes evitarlo; y si lo haces, que la página de pago esté en tu dominio o en el de una pasarela reconocida.

Si crees que has caído en una estafa

1. Si metiste datos de tarjeta, llama inmediatamente a tu banco para bloquearla.
2. Si metiste una contraseña, cámbiala en ese servicio y en cualquier otro donde uses la misma, y activa la verificación en dos pasos.
3. Denuncia el caso ante la policía o el organismo de ciberseguridad de tu país (en España, el INCIBE ofrece la línea de ayuda gratuita 017).
4. Si el QR estaba en un lugar público, avisa al responsable (ayuntamiento, empresa del parking, el local) para que lo retire.