Quishing: cómo los estafadores abusan de los códigos QR — y en qué se reconocen los códigos seguros

El tique de aparcamiento está pagado, cree uno — en realidad, los datos de la tarjeta de crédito acaban de aterrizar en el servidor de unos estafadores. Lo hace posible una pegatina: un código QR falsificado, pegado encima del código auténtico del parquímetro. «Quishing» se llama este fraude, palabra compuesta de QR y phishing. Las organizaciones de consumidores y los cuerpos policiales llevan tiempo advirtiendo de casos así en parquímetros, en puntos de recarga y en cartas bancarias falsificadas. Motivo de pánico no es — pero sí una ocasión para revisar los propios hábitos de escaneo.

¿Por qué precisamente los códigos QR? Porque son el escondite perfecto. Un enlace en un correo puede leerse antes de pulsarlo; un código QR es, para el ojo humano, un patrón sin significado. Adónde lleva solo se sabe tras el escaneo. A eso se suma el contexto: un código en una máquina oficial hereda su credibilidad — casi nadie cuenta con que hayan pegado algo encima de lo del ayuntamiento. Y el esfuerzo de los autores es mínimo: bastan una hoja de etiquetas adhesivas y cualquier generador de códigos. La técnica en sí es tan neutral como el papel y la tinta de imprenta — cualquiera puede generar con cualquier herramienta un código hacia cualquier dirección.

Los fraudes conocidos se parecen entre sí. En parquímetros y puntos de recarga eléctrica, códigos pegados encima llevan a páginas de pago de imitación asombrosa que piden datos de tarjeta de crédito. En cartas falsificadas, supuestamente de bancos, el código QR sustituye al clásico enlace de phishing — el papel inspira confianza y esquiva cualquier filtro de spam. También hay documentadas multas de aparcamiento fingidas con la invitación a pagar cómodamente por código, igual que pegatinas sobre avisos de paquetería. El objetivo es siempre el mismo: datos de pago o credenciales, recolectados en una web imitada.

Por distintos que sean los decorados, la dramaturgia se repite. Casi siempre el fraude trabaja con presión de tiempo: la cuenta será bloqueada, el coche retirado por la grúa, el recargo exigible, si no se actúa en cuestión de minutos. A ello se añade con frecuencia una vía inusual para un trámite cotidiano — el banco que de pronto invita por carta a escanear, la administración que tramita pagos por una página desconocida. Ambas son señales clásicas de la ingeniería social, y ambas funcionan con independencia de la técnica: el código QR es solo el portador. Quien se acostumbra a ir más despacio justamente cuando siente presión de tiempo le quita al fraude su palanca más importante — ningún proveedor serio castiga que un pago llegue cinco minutos más tarde por la vía oficial.

La protección más importante viene incorporada desde hace tiempo, pero rara vez se usa de forma consciente: la vista previa del enlace. Los teléfonos modernos muestran tras el escaneo, primero, la dirección de destino antes de abrir la página. Ese segundo es el decisivo. Leer con atención compensa — y precisamente desde atrás: lo determinante es el dominio real inmediatamente antes de la terminación, no el principio de la dirección. «subanco.servicio-pagos.example» no pertenece al banco, sino al operador de «servicio-pagos.example». También los bailes de letras, los guiones adicionales y las terminaciones inusuales son señales de alarma.

Dos sutilezas hacen esa lectura más difícil de lo que suena. Primera: algunas aplicaciones de cámara acortan las direcciones largas en la vista previa — visible queda entonces solo el principio de aspecto inofensivo, no el dominio decisivo. Quien dude, que se haga mostrar la dirección completa antes de abrirla. Segunda: existen dominios con caracteres de otros alfabetos que se parecen a las letras latinas hasta confundirse; muchos navegadores muestran esas direcciones, como protección, en una escritura técnica con el prefijo «xn--». Quien vea una cadena así en la vista previa, esperando una marca conocida, tiene todos los motivos para la cautela. Los servicios de enlaces cortos, por último, ocultan por completo el destino real — en todo lo que tenga que ver con dinero o credenciales, teclear la dirección conocida es el camino más seguro.

La segunda mirada es para el propio código. ¿Está pegado sobre la máquina, en lugar de impreso o bajo lámina? ¿Está torcido, tapa otras rotulaciones, sobresale al tacto de la superficie? Una etiqueta sobre el original es el patrón más frecuente del quishing en el espacio público. En caso de duda rige: tomar la vía oficial — la app del operador, el número de atención impreso o el propio terminal.

Tercero: los trámites sensibles no pintan nada después de un escaneo en el espacio público. Quien tras escanear un código deba introducir datos de pago, contraseñas o un código de confirmación hace mejor en interrumpir y teclear la dirección conocida o usar la app oficial. Con las cartas con código QR ayuda una llamada al banco — al número de la tarjeta bancaria, no al de la carta. Las entidades serias aceptan ese rodeo sin queja; quien apremia, se hace sospechoso.

Un error extendido merece advertencia propia: el símbolo del candado del navegador no es un sello de calidad. Solo indica que la conexión va cifrada — no con quién se comunica uno cifradamente. Las páginas de phishing usan hoy casi sin excepción HTTPS. La pregunta nunca es, por tanto, si una página tiene candado, sino a quién pertenece el dominio.

Una diferencia la marca también la herramienta en la propia mano. Las aplicaciones de cámara de los teléfonos modernos muestran la dirección de destino y esperan una confirmación consciente — exactamente esa pausa es el mecanismo de protección. Las apps de escaneo de terceros, en cambio, abren a veces los enlaces automáticamente, insertan publicidad o exigen permisos que nada tienen que ver con escanear. Quien use una app así, que compruebe si el abrir automático puede desactivarse — o que renuncie del todo: para el día a día, la cámara preinstalada basta por completo. Donde falte, por ejemplo en dispositivos más antiguos, una app de escaneo con función de vista previa y permisos sobrios es la elección correcta.

A la verdad pertenece, no obstante, también esto: no toda redirección es sospechosa. Muchos códigos legítimos de la publicidad y el comercio pasan primero por el dominio corto de un servicio QR antes de llegar al destino — así funcionan los códigos dinámicos, cuyo destino sigue siendo modificable a posteriori y cuyos escaneos se cuentan para la medición de alcance. Un paso intermedio por una dirección corta desconocida no es, por sí solo, prueba de estafa — tan poco como su ausencia es prueba de seguridad.

Cómo pueden manejar los proveedores esta cuestión de transparencia lo muestra el servicio QR alemán QR2GO: pone a elección, para cada código, varios modos de redirección — una redirección visible, en la que el paso intermedio queda reconocible; una variante encubierta con recuento; y un modo directo sin rodeo. Para las consumidoras y los consumidores, la lección sigue siendo la misma: lo decisivo no es el camino, sino el destino — qué dirección queda al final en el navegador y qué exige la página que hay allí.

Impedir el abuso, en efecto, no puede hacerlo un generador — ningún proveedor controla dónde se pega un código una vez creado, y los estafadores pueden usar cualquier herramienta. La protección no está, por eso, en la técnica, sino en el hábito: leer la dirección de destino, revisar el contexto, desconfiar cuando hay dinero y contraseñas en juego. Es la misma vigilancia que hace tiempo se asentó con los enlaces de correo — solo que en el código QR no puede empezar hasta después del escaneo.

Una faceta propia tiene el tema en el día a día laboral. Las autoridades de seguridad y los defensores de los consumidores observan desde hace un tiempo correos de phishing que en lugar de un enlace contienen un código QR — con un efecto colateral calculado: el código se escanea de la pantalla con el teléfono privado, y con ello el ataque abandona el ordenador corporativo protegido con sus filtros y programas de defensa. La máscara de inicio de sesión que aparece entonces en el móvil se parece a menudo hasta el detalle al portal del empleador. La contrarregla es sencilla y se deja anclar en el equipo: las credenciales de trabajo no se introducen por principio en páginas alcanzadas mediante un código escaneado — y los mensajes sospechosos se comunican al departamento de TI, no a la papelera.

Importante para la clasificación: el escaneo en sí no causa, por regla general, daño alguno todavía. Peligroso se vuelve solo cuando la página abierta pide entradas, ofrece descargas o apremia a instalar una app. Quien simplemente cierra una página sospechosa y no ha introducido nada no tiene, en la mayoría de los casos, nada más que temer — una mirada de control a los siguientes extractos de cuenta, aun así, nunca está de más.

Si algo ha pasado, cuenta la rapidez. Si se introdujeron datos de tarjeta, la tarjeta debe bloquearse sin demora — en Alemania, de forma centralizada, en el teléfono de bloqueo 116 116 o directamente en el banco. Las contraseñas afectadas se cambian de inmediato, y si se reutilizaban, también en todos los demás servicios. Una denuncia ante la policía tiene sentido incluso con importes pequeños, porque hace visibles los patrones de investigación; las organizaciones de consumidores recopilan además los avisos de phishing. Los movimientos de cuenta deben vigilarse con atención en las semanas siguientes.

También la otra parte puede hacer algo. Las empresas que exponen códigos en público refuerzan la confianza imprimiendo al lado la dirección de destino en texto claro — quien quiera puede teclearla, y todos los demás pueden al menos comparar con ella la vista previa. Una imagen consistente con colores y logotipo también ayuda, pero no es prueba, porque el diseño se puede copiar. Más eficaz es el control regular sobre el terreno — un código pegado encima salta a la vista en la ronda semanal — y una colocación que al menos dificulte el pegado.

Para los operadores de máquinas y puntos de recarga, esto se deja condensar en un proceso fijo: llevar un registro de qué código cuelga en qué ubicación y adónde lleva; instruir al personal de modo que una pegatina ajena llame la atención al vaciar o mantener; y crear una vía de aviso sencilla para las pistas de la clientela. Si se descubre una manipulación, rige: cubrir o retirar de inmediato el código falso, fotografiar antes el estado, presentar denuncia — y avisar de forma bien visible en la máquina de que los pagos solo deben efectuarse por las vías oficiales. Quien además informa a la clientela por los canales propios limita el daño y recupera confianza.

Al final, el quishing no es un peligro nuevo, sino uno viejo con ropaje nuevo: el phishing sigue a la atención, y la atención ha llegado al código QR. La respuesta permanece invariable — una breve mirada de comprobación antes de que fluyan los datos. Quien lee la dirección de destino de un código escaneado con la misma atención que el remitente de un correo sospechoso le ha quitado al fraude la mayor parte de su espanto.