Los códigos QR forman parte de muchas situaciones cotidianas. Los utilizamos para consultar la carta de un restaurante, acceder a información sobre un producto, realizar determinados trámites o abrir rápidamente una página web desde el móvil. Precisamente esa facilidad para llevarnos de un código a un contenido digital es lo que aprovechan algunas estafas.
Una de ellas es el quishing, una modalidad de phishing en la que los ciberdelincuentes utilizan códigos QR para intentar dirigirnos hacia páginas fraudulentas y conseguir que facilitemos información personal, credenciales o datos bancarios.
Te contamos qué es el quishing, cómo funciona y qué puedes hacer para evitar una estafa con un código QR falso.
¿Qué es el quishing?
El quishing, denominado también QR phishing o, en ocasiones, qrishing, es una técnica de phishing que utiliza un código QR como medio para conducir a la víctima hasta un contenido fraudulento.
El objetivo es parecido al de otros ataques de suplantación: conseguir que una persona confíe en una comunicación o página que parece legítima y realice una acción que no debería. La principal diferencia está en la forma de llegar hasta ella. En lugar de mostrar directamente un enlace en un correo electrónico o SMS, la dirección queda oculta dentro del código QR.
Al escanearlo con la cámara del móvil, el usuario obtiene un enlace que puede conducir a una web creada para hacerse pasar por una empresa, administración, entidad bancaria o cualquier otro servicio conocido. INCIBE incluye esta práctica entre los riesgos asociados a los códigos QR y advierte de que pueden utilizarse para dirigir al usuario a sitios fraudulentos destinados al robo de información.
El propio código QR, por tanto, no tiene por qué ser peligroso por sí mismo. El riesgo se encuentra en el contenido o la dirección a la que conduce y en las acciones que se realizan después.
Cómo funciona el quishing
Una estafa QR suele apoyarse en dos elementos: un código preparado por los ciberdelincuentes y una situación diseñada para que la persona tenga motivos para escanearlo.
Ese código puede aparecer en un soporte físico o enviarse a través de un medio digital. Los QR fraudulentos pueden colocarse en carteles, paredes o tablones, pero existen campañas que los incorporan igualmente en correos electrónicos y otras comunicaciones.
El engaño intenta que la víctima se centre en la acción que supuestamente debe realizar (consultar información, iniciar sesión, comprobar un documento o completar una gestión) y no en verificar primero dónde está entrando.
Cómo actúan los ciberdelincuentes
Una de las características del phishing con QR es que el código puede ocultar la dirección de destino a simple vista. Mientras que ante un enlace escrito podemos reconocer rápidamente un dominio extraño, un QR está formado por una imagen que no nos indica directamente qué página se abrirá.
Los delincuentes aprovechan esta circunstancia y suelen acompañar el código con un mensaje que le dé credibilidad. Por ejemplo, pueden simular una comunicación relacionada con una cuenta, un pago, una entrega o cualquier situación que invite a actuar deprisa.
Existe además la posibilidad de manipular códigos colocados en espacios físicos. Un adhesivo con un QR fraudulento podría situarse encima del código legítimo de un cartel o documento, llevando al usuario a un destino distinto del esperado.
El quishing recurre, por tanto, a técnicas de ingeniería social: no se trata únicamente de crear el código, sino de conseguir que quien lo recibe confíe en él y siga las instrucciones posteriores.
Qué ocurre al escanear un código QR falso
Escanear un QR sospechoso no significa necesariamente que tus datos hayan sido robados en ese mismo instante. Normalmente, el teléfono muestra o abre la dirección incluida en el código y es a partir de ahí cuando aparece el riesgo.
Una de las situaciones más habituales consiste en llegar a una web que imita la apariencia de un servicio legítimo. Allí podrían solicitarte un usuario y una contraseña, datos personales, información de una tarjeta o cualquier otra información que interese al atacante.
Un código manipulado también puede conducir a páginas desde las que se intenta distribuir contenido malicioso. INCIBE contempla entre los riesgos de los QR fraudulentos tanto el robo de información como la posibilidad de dirigir al usuario a webs utilizadas para distribuir malware.
Por eso, si escaneas un código y la página solicita datos que no esperabas introducir, no continúes simplemente porque el diseño parezca conocido. Cierra la web y accede al servicio escribiendo su dirección oficial en el navegador o desde su aplicación.
Cómo identificar un código QR falso
No existe una diferencia visual evidente que permita distinguir siempre un QR legítimo de otro fraudulento mirando únicamente el patrón de cuadrados. La mejor defensa está en examinar su procedencia, el contexto y, sobre todo, la dirección web a la que pretende llevarnos.
Un código impreso correctamente y colocado en un establecimiento conocido no garantiza por sí solo que sea seguro, igual que un diseño poco elaborado tampoco demuestra necesariamente que se trate de una estafa. Conviene evitar conclusiones basadas únicamente en su apariencia.
Señales de alerta antes de escanear un QR
Antes de utilizarlo, fíjate en dónde has encontrado el código y qué te están pidiendo hacer. Algunas situaciones deberían hacerte extremar la precaución:
- El código llega de forma inesperada mediante un correo, SMS u otro mensaje y te anima a realizar una acción urgente.
- El texto que lo acompaña solicita verificar una cuenta, introducir información confidencial o efectuar un pago sin que estuvieras esperando esa gestión.
- En un cartel o soporte físico, el QR parece estar colocado mediante una pegatina encima de otro código o presenta signos de manipulación.
- La comunicación utiliza presión, amenazas o consecuencias inmediatas para evitar que te detengas a comprobar su autenticidad.
- Tras escanearlo, la dirección mostrada no coincide claramente con el servicio al que supuestamente vas a acceder.
Consulta nuestros consejos para evitar caer en estafas destinadas a conseguir tus datos, donde explicamos distintos tipos de fraude digital.
Cómo comprobar si un enlace es seguro
Muchos móviles muestran una vista previa de la dirección asociada al QR antes de abrirla. Lee esa dirección antes de continuar y comprueba especialmente el dominio.
Los ciberdelincuentes pueden recurrir a nombres muy parecidos a los originales, añadir palabras, cambiar alguna letra o utilizar dominios que intenten transmitir confianza. Que una dirección contenga el nombre de una empresa no demuestra que pertenezca a ella.
No te bases tampoco exclusivamente en que aparezca “https” o el símbolo del candado del navegador. Estos elementos indican que la conexión con una web está cifrada, pero no garantizan que quien está detrás de esa página sea realmente la empresa o entidad que dice ser.
Si tienes dudas, evita entrar desde el enlace del QR. Abre directamente la aplicación oficial o escribe tú mismo la dirección que utilizas habitualmente. Así eliminas la necesidad de confiar en el destino incluido dentro del código.
Cómo evitar el quishing
La protección frente al quishing depende en gran medida de lo que hacemos antes y después de escanear. No es necesario desconfiar de cualquier QR que encontremos, pero sí aplicar unas precauciones similares a las que utilizaríamos con un enlace recibido por correo electrónico o SMS.
Revisa siempre la procedencia del código y no actúes con prisas porque el mensaje asegure que existe una urgencia. Si supuestamente procede de una empresa, banco o administración y te solicita información sensible, verifica la petición desde sus canales oficiales.
Antes de abrir una página, comprueba la dirección que muestra el teléfono. Una vez dentro, no introduzcas credenciales ni información bancaria si existen indicios de que el sitio no es legítimo.
Mantener actualizado el sistema operativo, el navegador y las aplicaciones del móvil añade otra capa de protección frente a vulnerabilidades conocidas, aunque las actualizaciones no evitan que una persona introduzca voluntariamente sus credenciales en una web falsa.
Conviene utilizar contraseñas diferentes para cada servicio y activar la autenticación en dos pasos cuando esté disponible. De ese modo, si una contraseña termina en manos de terceros, existe una barrera adicional para acceder a determinadas cuentas.
En los códigos situados físicamente en establecimientos, máquinas, carteles u otros espacios, comprueba además que no haya una pegatina superpuesta o señales evidentes de manipulación. Y si algo no encaja, pregunta al responsable del establecimiento antes de continuar.
Qué hacer si has sido víctima de una estafa con QR
Lo primero es distinguir entre haber escaneado un código y haber facilitado información o realizado alguna acción después. Si únicamente has abierto una dirección sospechosa y no has introducido datos, descargado archivos ni instalado aplicaciones, cierra la página y evita seguir interactuando con ella.
Si has escrito una contraseña en una web que posteriormente identificas como fraudulenta, cámbiala cuanto antes desde la página o aplicación oficial del servicio. Si utilizabas esa misma contraseña en otras cuentas, sustitúyela también en ellas. Activa la verificación en dos pasos siempre que sea posible y revisa los accesos recientes por si encuentras alguna actividad que no reconozcas.
Cuando hayas proporcionado información bancaria o realizado un pago, ponte en contacto con tu entidad bancaria mediante sus canales oficiales para explicar lo sucedido y seguir sus indicaciones. Revisa después los movimientos de la cuenta o tarjeta para detectar operaciones que no hayas autorizado.
Si el engaño ha provocado la instalación de una aplicación o la descarga de contenido sospechoso, elimínalo y revisa el dispositivo con las herramientas de seguridad disponibles. Mantén el sistema actualizado y presta atención a comportamientos inusuales posteriores.
También es recomendable guardar las pruebas relacionadas con el fraude, como el mensaje recibido, fotografías del código QR, la dirección web, capturas de pantalla o justificantes de operaciones. Pueden resultar útiles a la hora de comunicar el incidente o presentar una denuncia.