Estafas con códigos QR: qué mirar antes de escanear
Publicado el
Un código QR no es más que un texto codificado en un dibujo. Esa simplicidad es su virtud y también el motivo por el que se volvió una herramienta cómoda para el fraude: nadie puede ver a dónde lleva un código hasta que ya lo escaneó.
El nombre técnico de esta modalidad es quishing, una mezcla de QR y phishing. La mecánica es la misma de siempre, llevar a la víctima a un sitio falso para que entregue datos o dinero, con la diferencia de que el enlace viaja escondido dentro de un cuadrado.
Los tres formatos más frecuentes
El primero y más extendido es la calcomanía superpuesta. Alguien pega un código propio encima del código legítimo de un parquímetro, un estacionamiento, un cargador de auto eléctrico o el cartel de pago de un comercio. La víctima paga creyendo que le paga al negocio y el dinero va a otra cuenta. Es barato de ejecutar, no requiere ninguna habilidad técnica y ha ocurrido en decenas de ciudades.
El segundo es el papel dejado en el lugar equivocado a propósito: una supuesta multa en el parabrisas, un aviso de paquete no entregado en la puerta, una encuesta con premio en la mesa de un bar. El código lleva a una página que imita a la institución real y pide datos de la tarjeta.
El tercero es el correo electrónico con un código QR en lugar de un enlace. Esta variante creció porque resuelve un problema del atacante: los filtros de seguridad de las empresas analizan los enlaces de un correo, pero un código QR es una imagen y muchos filtros no la miran. Además obliga a la víctima a pasar del ordenador de la empresa a su teléfono personal, que casi nunca tiene las mismas protecciones.
Por qué funciona mejor que un enlace falso
Con un enlace de texto, cualquiera puede pasar el cursor por encima y ver a dónde lleva antes de hacer clic. Con un código QR eso es imposible: el destino solo se conoce después de escanear.
A eso se suma el contexto físico. Un código pegado en un parquímetro parece parte del parquímetro. Una calcomanía en un cartel oficial hereda la credibilidad del cartel. La víctima no está evaluando un enlace sospechoso en su bandeja de entrada, está en la calle resolviendo un trámite con apuro.
Y hay un factor de pantalla: en el teléfono la barra de direcciones es corta y muestra una parte del dominio. Una dirección larga y bien construida puede parecer legítima en un móvil aunque en una pantalla grande el engaño sería evidente.
Qué mirar, en orden
Antes de escanear, mirá el código físicamente. Si es una calcomanía pegada sobre otra cosa, si tiene los bordes levantados, si el papel no coincide con el resto del cartel o si tapa parcialmente un texto impreso, no lo escanees. Los códigos legítimos suelen estar impresos junto con el diseño, no pegados encima.
Después de escanear y antes de abrir, leé la dirección completa que muestra el teléfono. La parte que importa es la que está justo antes de la primera barra: ahí está el dominio real. Un dominio parecido pero no idéntico al de la marca, con guiones de más, con una letra cambiada o con la marca aparecida como subdominio de otro sitio, es la señal más clara de fraude.
Desconfiá de los acortadores. Un código que lleva a una dirección corta de un servicio de acortamiento esconde el destino final, y aunque hay usos legítimos, en un cartel de pago no hay ninguna razón para usarlos.
Y la regla que resuelve casi todo: nunca introduzcas datos de tarjeta, contraseñas ni códigos de verificación en una página a la que llegaste escaneando un código que no esperabas. Si el aviso parece real, entrá al sitio de esa empresa escribiendo la dirección a mano, o llamá al teléfono que figura en tu resumen de cuenta.
Del otro lado: proteger tus propios códigos
Si tenés un negocio con códigos QR a la vista, sos un objetivo. La defensa más efectiva es la más aburrida: revisar físicamente los códigos con frecuencia para ver que no haya nada pegado encima, sobre todo los que quedan sin vigilancia.
Después, dificultar el pegado. Un código plastificado, bajo un acrílico o impreso directamente sobre una superficie irregular es mucho menos cómodo de tapar que una hoja pegada con cinta.
Y una medida que sirve para todo: poner el nombre del negocio bien visible junto al código. Si el cliente escanea y la pantalla muestra otro nombre, va a detenerse. Sin esa referencia, no tiene con qué comparar.