Cómo detectar un código QR falso (y evitar el «quishing»)
No puedes saber si un código QR es seguro con solo mirarlo, así que comprueba el destino antes de actuar. Revisa la dirección web que muestra tu teléfono, desconfía de los códigos que llegan en mensajes inesperados y de las pegatinas colocadas sobre otros códigos, y nunca introduzcas contraseñas ni datos de tarjeta en una página a la que llegaste desde un código que no puedes verificar. Los negocios pueden reducir el riesgo enmarcando sus códigos, revisándolos con regularidad e imprimiendo su nombre al lado.
Qué es el «quishing»
El quishing es phishing hecho con un código QR. El código no es más que la imagen de una dirección web; la estafa es la página que abre. Como el patrón tiene el mismo aspecto tanto si lleva a un menú como a una página de inicio de sesión falsa, la gente baja la guardia, y los filtros de seguridad que analizan el texto en busca de enlaces maliciosos pueden no leer la imagen. La Comisión Federal de Comercio de EE. UU. (FTC) publicó en diciembre de 2023 una alerta para consumidores que describe justo esto, incluidos estafadores que sustituyen los códigos de los parquímetros por los suyos y mensajes que inventan una urgencia, como una entrega fallida, para que la gente escanee deprisa.
Los dos trucos más comunes
Pegatinas superpuestas. Un delincuente imprime un código y lo pega encima de uno real: en un parquímetro, una mesa de restaurante, un póster o una hucha benéfica. Los clientes creen que están pagando o leyendo el menú y acaban en una página que imita a la original.
Códigos no solicitados. Una carta, un correo o un SMS te pide escanear un código para reprogramar una entrega, confirmar una operación bancaria o reclamar un premio. La urgencia es la señal de alarma.
Siete comprobaciones antes de abrir un código
- Lee la dirección que muestra tu teléfono. Tanto iPhone como Android muestran el destino antes de abrirlo. Compara el dominio con quien esperabas. El menú de una cafetería no debería abrir un dominio del que nunca has oído hablar.
- Desconfía de los enlaces acortados en pegatinas y mensajes. Un enlace corto oculta adónde termina. No es inseguro en sí, pero te quita una comprobación que de otro modo harías.
- Mira el código físico. ¿Es una pegatina sobre otra impresión? ¿Se levantan los bordes? ¿Está en una superficie que no debería llevar pegatinas?
- Pregúntate si lo esperabas. Los códigos en correo o mensajes no solicitados merecen una sospecha extra.
- Ve tú mismo al sitio oficial. Si un código dice venir de tu banco o de tu empresa de mensajería, ciérralo y abre la app o la web oficial.
- Nunca introduzcas credenciales ni números de tarjeta en una página que no puedes verificar. Comprueba que la dirección coincide y que de verdad necesitas estar en ella.
- Usa un lector que muestre una vista previa del enlace. Leer el código desde una captura de pantalla con una herramienta que muestra la dirección completa antes de abrir nada es una forma segura de inspeccionarlo.
Qué deben hacer los negocios
Si imprimes códigos QR para tus clientes, formas parte de la defensa.
- Monta los códigos de forma que no se puedan tapar. Usa un marco, una cubierta transparente o un soporte de mesa en lugar de una pegatina suelta.
- Imprime tu nombre junto al código y muéstralo en la página. Los clientes que saben qué debe decir la página pueden detectar una falsificación.
- Revisa los códigos con una rutina. Compruébalos al abrir, sobre todo donde se gestionan pagos o donativos.
- Usa un enlace corto en un dominio que controles, o un proveedor que revise los destinos. Un código dinámico te permite cambiar el destino rápidamente si algo va mal, y un proveedor que vigila los abusos reduce la probabilidad de que tus propios códigos se usen contra la gente.
- Nunca pidas datos de tarjeta en una página a la que se llega desde un póster. Envía a la gente a la página alojada de tu proveedor de pagos.
Si escaneaste algo sospechoso
Cierra la página sin escribir nada. Si introdujiste una contraseña, cámbiala en el sitio auténtico y activa la verificación en dos pasos. Si introdujiste datos de tarjeta, llama a tu banco. Informa de la pegatina al local y, cuando corresponda, a la autoridad de protección del consumidor de tu país.
Preguntas frecuentes
¿Solo con escanear un código QR se puede infectar mi teléfono?
Escanear solo lee el texto. El riesgo viene de lo que haces después: abrir una página maliciosa, instalar algo que te ofrece o introducir credenciales. Mantén el teléfono actualizado y ten cuidado con la página que se abre.
¿Cómo compruebo un código QR sin abrirlo?
Mira la vista previa de la dirección que muestra la app de la cámara, o decodifica una captura del código con una herramienta que muestre el contenido antes de abrir nada. Nuestro lector de códigos QR gratuito lo hace en tu navegador sin subir la imagen.
¿Es inseguro usar códigos QR?
No más que cualquier enlace. Son seguros cuando vienen de una fuente de confianza y llevan al sitio que esperabas. Trátalos como los enlaces de un correo: comprueba adónde van antes de actuar.