Estafas con códigos QR (quishing): cómo detectar un código falso

Un código QR esconde su destino detrás de un mosaico de cuadrados, y eso es justo lo que aprovechan los atacantes. El phishing a través de códigos QR ya tiene nombre propio: quishing. Aquí van las estafas que ocurren de verdad, cómo comprobar un código antes de confiar en él y qué debe hacer un negocio para proteger sus propios códigos impresos.

Qué es el quishing

Es phishing de siempre con otro envoltorio. En lugar de un enlace, te dan un código QR: en una pegatina, una carta, una factura o dentro de un correo. Escaneas, aterrizas en una copia convincente de una pantalla de acceso o de pago y entregas tus credenciales o tu tarjeta.

Funciona por tres motivos: el destino no se puede leer a simple vista; escaneas con el móvil, donde la barra de direcciones es corta y fácil de malinterpretar; y un código incrustado en un correo suele esquivar los filtros que solo revisan enlaces de texto.

Estafas que ocurren de verdad

• Pegatina sobre el código real. En un parquímetro, un cargador eléctrico o un cartel: la víctima paga a un desconocido.
• Factura falsa. Una carta o un PDF pide pagar escaneando. Los datos bancarios son del estafador.
• «Verifica tu cuenta». Un correo avisa de que tu buzón, banco o envío está bloqueado y pide escanear. La página se queda con la contraseña y el código de doble factor.
• Aviso de entrega fallida. Una tarjeta en el buzón ofrece reprogramar el paquete por una pequeña tasa que captura el número de tarjeta.
• Wi-Fi trampa. Un código que te conecta a una red controlada por el atacante.
• Regalo o encuesta. Un código que promete premio y lleva a un formulario de captación de datos o a instalar una app.

Cómo comprobar un código antes de fiarte

1. Lee la previsualización. Las cámaras actuales muestran la dirección antes de abrirla. Lee el dominio completo: banco-seguro.example.com no es example.com.
2. Mira la pegatina. Un código pegado encima de otro, torcido o en una superficie sin nada más impreso merece desconfianza. En mobiliario público, prueba con la uña.
3. Nunca escribas credenciales en una página a la que llegaste escaneando. Abre el sitio tú: teclea el dominio, usa un marcador o la app oficial.
4. Da por hostil cualquier petición de pago. El aparcamiento, los suministros y los servicios públicos no dependen de una pegatina para cobrar.
5. Ignora la urgencia. «En 24 horas o cerramos tu cuenta» es presión, no un plazo.
6. Sospecha de la invitación a instalar. Una página que pide de inmediato un perfil, un certificado o un APK no es una pantalla de acceso.

Qué debe hacer un negocio

Si imprimes códigos QR, la confianza de tus clientes es parte de tu infraestructura. En concreto:

• Imprime un dominio reconocible. Si el código resuelve a tu propio dominio corto, cualquiera puede comprobarlo en la previsualización: la barra de direcciones pasa a ser una señal.
• Haz visible la manipulación. Plastifica, usa etiquetas que se rompan al despegarse, integra el código en el diseño en lugar de pegarlo, y revisa con regularidad los sitios de mucho paso.
• Usa códigos dinámicos. Si un código se copia o se usa de forma indebida, lo rediriges o lo desactivas en segundos, sin retirar material impreso.
• Vigila las estadísticas. Un pico repentino, una mezcla inusual de dispositivos o navegadores, o tráfico mucho después del final de la campaña piden una revisión.
• Protege lo sensible. Para documentos internos o campañas limitadas, una contraseña, una fecha de caducidad o un límite de escaneos evitan que un código filtrado sirva para siempre.
• Explica qué va a pasar. «Este código abre nuestra carta en example.com; nunca pedimos pagos por QR» le quita al estafador su coartada.

En Enqre todos los códigos son dinámicos: puedes redirigirlos o desactivarlos al instante, las estadísticas revelan anomalías, y contraseña, caducidad y límite de escaneos están disponibles en los planes de pago.

Preguntas frecuentes

¿Un código QR puede contener un virus?

Por sí mismo, no. Un código QR solo es texto codificado, normalmente un enlace. El riesgo está por completo en el destino y en lo que hagas allí: la pregunta de seguridad siempre es sobre la página, no sobre el dibujo.

¿Es seguro escanear la carta de un restaurante?

Por lo general sí, con las mismas comprobaciones: lee el dominio en la previsualización y desconfía si un código de menú exige iniciar sesión o pagar antes de mostrarte un solo plato.

¿Cómo compruebo un enlace sin abrirlo?

Usa la previsualización de la cámara y lee el dominio. Si quieres más seguridad, teclea el dominio en el navegador en lugar de pulsar, o revisa el enlace en un servicio de reputación de URL de confianza.

Ya escaneé un código malicioso, ¿qué hago?

Si pusiste una contraseña, cámbiala de inmediato en el sitio real y cierra las sesiones activas. Si diste datos de tarjeta, llama a tu banco. Si instalaste algo, quítalo y revisa el dispositivo.