Los consejos de los expertos para evitar las estafas con códigos QR

Este sistema, aunque parezca novedoso, cumple 30 años en 2024. Fue creado por una empresa subsidiaria de Toyota como evolución del código de barras, aunque no apareció en Estados Unidos y Europa hasta la década de 2010.

Pero no fue hasta la llegada de la pandemia, las restricciones a la movilidad y las precauciones ante el contacto físico, en 2020, cuando verdaderamente triunfó. En ese año, y desde entonces, se ha ido imponiendo en restaurantes, locales de hostelería, tiendas y otros establecimientos como fórmula alternativa para que los clientes accedan a la carta, el catálogo o a ofertas promocionales.

Códigos QR y las estafas de quishing

Un código QR es una matriz formada por cuadros blancos y negros debidamente colocados y que son leídos por una app de escaneo. Esa distribución de cuadros codifica el acceso a una página web donde encontramos toda la información deseada.

La tecnología la aprovechan bares, bancos, gasolineras y todo tipo de negocios para promocionarse o mostrar los contenidos que deseen. Sin embargo, desde hace un tiempo los expertos vienen advirtiendo de las malas prácticas de los ciberdelincuentes.

El quishing, o qrishing, es un intento de estafa que consiste en crear códigos fraudulentos para robar información confidencial de los usuarios o incluso dinero haciendo uso de esta tecnología. El modus operandi de estos delincuentes consiste en introducir un código engañoso y, una vez los clientes han accedido a esa web, tratar de hacerse con sus datos personales o las cuentas bancarias.

Para lograrlo optan por varias vías y las hay más básicas y otras más evolucionadas. Entre las más básicas está la de colocar una pegatina sobre el código QR original. Pero otros intentos un poco más cuidados se basan en repartir publicidad promocional con estos códigos que dan acceso a páginas web con la misma apariencia que comercios online o marketplaces.

En ellos se ofrece como gancho un descuento promocional, alguna oferta tentadora o ventajas por introducir datos personales. El error está justo ahí, en compartir esos datos: contraseñas, teléfono, dirección de correo electrónico, número de cuenta bancaria…

Fuera del ámbito físico también hay tentativas de hacerse con información confidencial. Un ejemplo son los códigos QR fraudulentos que llegan a través del correo electrónico (en un método muy parecido al phishing) o mediante redes sociales. E incluso hay prácticas más avanzadas que se basan en incluir el código QR como pasarela de pago, algo que ya están probando algunas empresas. En este caso, el fraudulento, la pasarela de pago a la que dirige el código, va a tratar de solicitar dinero o hacerse con datos financieros.

¿Cómo evitar engaños con los códigos QR?

La situación no es para tomársela a broma. El quishing, según explica QRFY, supone ya más del 70% de las estafas contemporáneas. Esta compañía española es experta en la creación de códigos QR y advierte de los riesgos de su uso.

¿Significa eso que la tecnología QR es peligrosa y hay que dejar de usarla? No, ni mucho menos. Solo hay que interiorizar que puede ser vulnerable, por lo que hay que actuar ante esas debilidades.

En QRFY recomiendan en primer lugar verificar la fuente, es decir, el código QR. Si tiene apariencia de que no es legítimo, no hay que escanearlo. Igualmente, hay que utilizar aplicaciones de escaneo seguras, que tengan buena reputación.

Actualmente la mayoría de dispositivos móviles ya incluyen una app preinstalada que no conlleva riesgos. Pero si no es así y hay que acudir a tiendas virtuales, solo se puede confiar en las opciones que tengan buenas valoraciones y una puntuación alta.

Como tercer consejo esencial está el de mantener los dispositivos móviles siempre protegidos. Para ello, además de incluir antivirus y programas que alejan los malware y otros códigos maliciosos, QRFY propone una herramienta antifraude que escanea las URL de destino.

En su caso han llegado a bloquear más de 5.000 amenazas en todo el mundo durante el último año. Además, la compañía introduce innovaciones constantes en sus códigos QR dinámicos, para que no haya posibilidad de duplicarlos de manera maliciosa.

Como última sugerencia, los expertos aluden al sentido común. No es necesario escanear todos los QR que nos encontremos y mucho menos aquellos que parecen muy atractivos. Nadie regala nada y las ofertas que son demasiado buenas ocultan en muchos casos intentos de estafa.

Como ves, el quishing está a la orden del día, pero con educación continua, una protección avanzada y un uso adecuado de esta tecnología, podremos mantenernos a salvo de las malas prácticas.