El código QR como trampa: el nuevo truco favorito de los estafadores

NordVPN ha advertido de que ha aparecido una modalidad de estafa relativamente nueva que ya está ganando terreno a gran velocidad: el «quishing». Así se llama el engaño que utiliza códigos QR para tender una trampa bajo la apariencia de un cuadrito informativo y dirigir a la víctima a una web falsa o a un recurso malicioso. Para muchos usuarios, los códigos QR se han convertido en una especie de puertas digitales: son prácticos, rápidos y habituales. Y precisamente eso juega a favor de los estafadores.

El quishing es sencillo. Los delincuentes colocan un código QR falso en un cartel, un anuncio o incluso en la carta de un restaurante; a simple vista, no se distingue de uno auténtico. El usuario lo escanea, abre el enlace y acaba en una falsificación: puede ser un formulario de pago fraudulento, un falso servicio de entrega, una copia de la banca online o una página que solicita datos personales. A veces, al abrir el enlace se inicia automáticamente la descarga de un archivo malicioso. La víctima ni siquiera se da cuenta de que ha caído en la trampa.

NordVPN señala que los estafadores se aprovechan activamente de la confianza en los códigos QR que se ha creado en los últimos años. Durante la pandemia se usaban por todas partes: desde las cartas de los restaurantes hasta los pases y documentos. La gente se acostumbró a escanearlos sin pensárselo. Ahora eso se ha convertido en un punto débil de la seguridad digital.

Los expertos de la empresa destacan varias razones del aumento del quishing. En primer lugar, es fácil difundir códigos QR: basta con pegar uno propio encima del auténtico y la mayoría de la gente no se dará cuenta. En segundo lugar, los usuarios rara vez comprueban la dirección de la página tras abrir el enlace; muchos ni siquiera miran adónde conduce y confían en el proceso por costumbre. En tercer lugar, los estafadores han empezado a usar redirecciones automáticas desde el código QR hacia webs falsas o formularios de phishing.

NordVPN propone varias medidas sencillas de protección. Ante todo, conviene comprobar si el código QR está pegado encima de la imagen original, especialmente en lugares públicos. Si parece sospechoso, es mejor no escanearlo. En segundo lugar, hay que fijarse bien en la dirección que aparece tras escanearlo: incluso pequeñas diferencias en el nombre del dominio pueden indicar que la web es falsa. Los especialistas también recomiendan usar aplicaciones antivirus en el móvil y activar la función de comprobación de enlaces antes de abrirlos.

Hay que prestar especial atención a los códigos QR relacionados con pagos y con la introducción de datos personales. Cualquier formulario que pida datos bancarios o contraseñas debería despertar sospechas. Según NordVPN, la principal defensa es estar alerta: los estafadores cuentan con que actuemos en piloto automático, así que cada paso adicional del usuario reduce sus posibilidades de éxito.

Así pues, el quishing se está convirtiendo en una nueva amenaza en el mundo de la ciberdelincuencia. Los códigos QR, concebidos como una herramienta práctica, ahora pueden esconder peligros detrás de sus pulcros cuadrados en blanco y negro. Conviene recuperar una cautela razonable y no fiarse de cada imagen que escaneamos.