Phishing

El phishing es una técnica de ataque que, con sitios o mensajes falsos que se hacen pasar por servicios legítimos, roba mediante engaños contraseñas, números de tarjeta de crédito, datos personales y otra información. Frente a las modalidades que usan el correo electrónico o los SMS, la que se aprovecha de los códigos QR se llama "quishing". El FBI emitió en 2022 una advertencia sobre el phishing con códigos QR.

Uno de los métodos del quishing consiste en pegar un código QR falso encima de un código QR legítimo. Al escanear el código QR falso, se llega a un sitio de phishing muy parecido al auténtico, donde se induce a introducir los datos de inicio de sesión o de pago. A diferencia del phishing por correo electrónico, en un código QR la URL es difícil de comprobar a simple vista, por lo que una de sus características es que cuesta darse cuenta del daño.

A continuación se citan tres ejemplos de medidas de defensa. En primer lugar, comprobar la URL que aparece después de escanear y continuar con la operación después de confirmar que se trata del dominio legítimo. En segundo lugar, revisar el aspecto del código QR para ver si hay señales de que se ha sustituido físicamente (si hay pegatinas superpuestas, etc.). En tercer lugar, en los sitios a los que se llega desde un código QR, evitar introducir contraseñas o datos de tarjetas de crédito y volver a acceder mediante la aplicación oficial o escribiendo la URL directamente. Del lado de quien coloca el código QR, también existe el diseño de imprimir el código directamente en el material impreso para evitar manipulaciones y no usar pegatinas.