Artículo
Estafas con códigos QR: comprueba antes de confiar
Un enlace de phishing es fácil de inspeccionar: pasas el ratón por encima y la dirección real aparece en la esquina de la pantalla. Un código QR esconde esa misma información detrás de un patrón de cuadrados negros, así que escanearlo se parece más a hacer clic en un enlace a ciegas. El quishing, abreviatura de phishing por QR, explota exactamente ese hueco. Tanto el FBI como el Better Business Bureau han publicado avisos al consumidor sobre esto, lo cual es una buena señal de que merece unos segundos de precaución.
Qué es realmente el quishing
El quishing es phishing entregado a través de un código QR en lugar de un enlace o un adjunto de correo. El código en sí es inerte, es solo texto codificado, normalmente una URL, pero escanearlo y seguir a donde lleva puede llevarte a una página de inicio de sesión falsa diseñada para robar una contraseña, una página de pago diseñada para tomar dinero bajo un pretexto falso, o una solicitud para instalar algo que no querías. La estafa depende por completo de lo que ocurre después del escaneo, no del código como imagen estática.
Dónde aparece
Los casos comunes reportados por el FBI y el BBB incluyen una pegatina fraudulenta colocada sobre un código QR legítimo en un parquímetro o la carta de un restaurante, un aviso de entrega falso con un código QR que pide una pequeña «tasa de reenvío», y folletos impresos o correos que usan un código en lugar de un enlace escrito específicamente porque es más difícil de cuestionar para un lector. Cualquier código QR que pida un pago, credenciales de acceso o datos personales fuera de un contexto esperado merece la misma sospecha que un enlace inesperado.
Por qué funciona
Escanear un código QR y pulsar «abrir» se ha convertido en un hábito rápido y casi automático para mucha gente, de una forma que hacer clic en un enlace ya casi no lo es tras años de avisos de phishing. La URL de destino suele estar acortada o resultar desconocida, así que incluso quien sí se fija no puede saber fácilmente si apunta al negocio real o a un dominio parecido. Algunas apps de escaneo lo empeoran abriendo el enlace de inmediato, sin ningún paso de confirmación, en el instante en que se reconoce el código.
Comprobar un código QR antes de confiar en él
Prefiere un escáner que te muestre primero el texto o la URL decodificados y te deje decidir, en lugar de uno que abra el enlace automáticamente. Una herramienta como qr-scan decodifica un código QR desde una foto o tu cámara enteramente en tu navegador, así que puedes leer el destino como texto plano antes de abrir nada, sin que la imagen ni el resultado se envíen a ningún sitio. En cuanto puedas ver la URL, revisa el dominio real en lugar del texto que lo rodea, y trata la urgencia, una solicitud de pago o una pegatina que no encaja sobre un código oficial como razones para detenerte.
Si ya escaneaste un código malo
Cierra la pestaña sin escribir nada si todavía no lo has hecho. Si ya escribiste una contraseña o un dato de pago en una página que ahora sospechas que era falsa, cambia esa contraseña y revisa si hay actividad desconocida en la cuenta o tarjeta afectada, los mismos pasos que tomarías después de hacer clic en un enlace de correo malicioso. Actuar en los primeros minutos importa más que qué herramienta concreta detectó el problema.
Herramientas en este artículo
Preguntas frecuentes
¿Qué es el quishing?
El quishing es un ataque de phishing entregado a través de un código QR en lugar de un enlace o un correo. El código QR codifica un destino, normalmente una URL, que lleva a una página de inicio de sesión falsa, una solicitud de pago fraudulenta o una descarga no deseada. La palabra combina «QR code» y «phishing».
¿Escanear un código QR puede instalar malware por sí solo, sin que yo haga nada más?
Un código QR por sí mismo solo codifica texto, casi siempre una URL; escanearlo con un decodificador sencillo que solo te muestra ese texto no ejecuta nada. El riesgo viene de lo que ocurre después: abrir un enlace malicioso, descargar un archivo desde ahí, o introducir credenciales en una página falsa a la que lleva. Comprobar el destino decodificado antes de abrirlo elimina la mayor parte del peligro.
¿Cómo compruebo si una pegatina física con un código QR es segura antes de escanearla?
Fíjate bien en si hay una pegatina colocada sobre otro código, un método de quishing habitual en parquímetros y cartas de restaurante. Para cualquier cosa que implique un pago, verifica directamente con el negocio por un canal distinto, como su número de teléfono publicado, en lugar de fiarte solo del código. Cuando sea posible, decodifica primero el código a texto plano y lee el dominio real antes de abrirlo, igual que comprobarías un enlace antes de hacer clic.