Las tácticas de las estafas con códigos QR y cómo detectarlas - Curiosidades que te protegen con solo conocerlas
El caso de los códigos QR falsos pegados en los parquímetros
En 2022, en el estado de Texas, en Estados Unidos, ocurrió un caso en el que se pegaron pegatinas con códigos QR falsos en los parquímetros de los aparcamientos. Los estafadores pegaron encima de los códigos QR auténticos pegatinas con códigos QR falsos que ellos mismos habían hecho. Al escanearlas, aparecía una página de pago idéntica a la auténtica y, si se introducían los datos de la tarjeta de crédito, iban a parar directamente a manos de los estafadores.
Esta táctica se llama "quishing" (Quishing = QR + Phishing), y se han denunciado daños en todo el mundo. Como un código QR auténtico no se puede distinguir de uno falso solo por su aspecto, los códigos QR se están aprovechando como un nuevo medio para las estafas de phishing.
En el caso de Texas, la policía emitió un aviso en el que pedía "pagar el aparcamiento con la aplicación oficial o en efectivo". Es una lección de que la comodidad de los códigos QR puede convertirse, tal cual, en la puerta de entrada a una estafa.
Casos en los que se sustituyen los códigos QR de los menús de los restaurantes
Desde la pandemia de COVID-19, se ha generalizado el estilo de colocar códigos QR en las mesas de los restaurantes para mostrar el menú. Existe el riesgo de que estos códigos QR se sustituyan por enlaces a sitios falsos creados por estafadores.
La táctica es sencilla. Basta con pegar una pegatina con un código QR falso encima del código QR colocado en la mesa del restaurante. Al escanearlo, aparece "Para ver el menú es necesario descargar una aplicación" y te hacen instalar una aplicación con malware. O bien aparece "Conéctate al Wi-Fi" y te hacen introducir una contraseña en una página falsa de conexión Wi-Fi.
Los restaurantes también han empezado a tomar medidas. Un método consiste en "grabar" o "imprimir" el código QR directamente en el material de la mesa en lugar de "pegarlo" sobre ella, para reducir el riesgo de que se pegue una pegatina encima. También hay establecimientos que escriben "URL oficial: example.com" junto al código QR para que se pueda comprobar si la URL que aparece después de escanear coincide.
La trampa de los códigos QR impresos en correos electrónicos y en el correo postal
También existe la táctica de imprimir códigos QR en correo postal en papel y enviarlo. "Para la nueva entrega de tu paquete, usa este código QR". "El trámite de devolución de impuestos está aquí". "Tienes una factura de la luz sin pagar". Los códigos QR van impresos en cartas que se hacen pasar por organismos públicos o grandes empresas y, al escanearlos, te llevan a sitios falsos.
Lo que hace ingeniosa esta táctica es que, a diferencia del phishing por correo electrónico, tiene la sensación de confianza del "correo postal en papel". Se aprovecha de la psicología de "si ha llegado en papel, será auténtico". En realidad, es correo falso que los estafadores simplemente imprimieron y echaron al buzón.
La medida es sencilla. Antes de escanear el código QR, comprueba si esa carta es auténtica. Llama directamente al número de teléfono del remitente, o entra tú en el sitio oficial para comprobarlo. Tener la opción de "no escanear el código QR" es la defensa más segura.
La táctica de sustituir el código QR de pago de un establecimiento
Es una táctica que consiste en sustituir el código QR de pago de un establecimiento por uno falso para que el importe del pago se envíe a la cuenta del estafador. Su característica es que el daño es difícil de notar, porque los usuarios envían el dinero creyendo que es un pago legítimo.
Como medida, es importante pedir al establecimiento que confirme la recepción del pago después de pagar. Además, si notas algo raro, como que la placa con el código QR impreso es sospechosamente nueva o está sujeta con cinta adhesiva, consúltalo con el personal.
3 puntos que debes comprobar antes de escanear
Para protegerte de las estafas con códigos QR, acostúmbrate a comprobar estas 3 cosas antes de escanear.
1. ¿Hay una pegatina pegada encima?: Prueba a enganchar ligeramente el borde del código QR con la uña. Si hay una pegatina pegada encima, el borde se levantará. Hay que tener especial cuidado con los códigos QR de los lugares públicos (aparcamientos, paradas de autobús, restaurantes).
2. Comprueba la URL después de escanear: Después de escanear un código QR, no abras el enlace enseguida; comprueba la URL que aparece. ¿Coincide con el nombre de dominio del sitio oficial? ¿No es una URL corta desconocida? ¿No se ha convertido ".com" en ".corn"? Si notas algo raro en la URL, no abras el enlace.
3. Detente si te piden introducir datos personales: Si en el destino del enlace del código QR te piden introducir datos personales como el número de la tarjeta de crédito, una contraseña o tu Número Individual (My Number), sospecha que puede ser una estafa. Los servicios legítimos casi nunca piden introducir información confidencial a través de un código QR.
Qué hacer si llegas a escanear uno
Aunque hayas leído un código sospechoso, es más fácil evitar el daño si no introduces información en la página que aparece. No te precipites a seguir las instrucciones; primero cierra la página. Si has introducido tu ID, tu contraseña o los datos de tu tarjeta, cambia esa contraseña de inmediato y ponte en contacto con la compañía de la tarjeta y con los servicios que utilizas. Comprueba también si te han llegado cargos o avisos que no reconoces. Darse cuenta pronto y actuar pronto ayuda a mantener el daño en un nivel bajo. No guardártelo para ti y consultar al servicio de atención adecuado también es una respuesta importante.
Los códigos QR son las dos caras de la misma moneda: "cómodos" y "peligrosos"
La mayor ventaja de los códigos QR es "la facilidad de ir al destino del enlace con solo escanear", pero esto es también, tal cual, su mayor debilidad. Cuando escribes una URL a mano, la introduces comprobando la cadena de caracteres con la vista, por lo que es fácil darse cuenta de que un sitio es sospechoso. En cambio, con un código QR el destino del enlace se puede abrir justo después de leerlo, por lo que existe el peligro de entrar en un sitio falso sin comprobar la URL.
Aun así, no usar códigos QR no es realista. Lo importante es tener el hábito de "los códigos QR son cómodos, pero siempre compruebo el destino del enlace". Es una base de la alfabetización digital, igual que comprobar el remitente antes de hacer clic en un enlace de un correo electrónico.