Quishing: el fraude con códigos QR falsos y cómo evitarlo

Un código QR no es más que un enlace dibujado: al escanearlo, el móvil abre la dirección que lleva dentro. El problema es que, a diferencia de un enlace escrito, no puedes leerlo antes de abrirlo. Los estafadores lo aprovechan: es el quishing (de QR y phishing).

Dónde aparecen los QR trampa

INCIBE describe varios escenarios:

• En la calle: pegatinas con un QR falso encima del original en parquímetros, terminales de pago, carteles o mesas de restaurantes. Te llevan a una web de pago falsa.
• En correos electrónicos: mensajes que piden «verificar tu identidad» o «reactivar la verificación en dos pasos» escaneando un QR, que lleva a una página que imita el inicio de sesión de Microsoft u otro servicio. Al ir en una imagen, el enlace puede esquivar los filtros del correo.
• En folletos y cartas: INCIBE recoge el caso de una persona que escaneó un QR de un folleto incluido con un reloj comprado por internet, metió sus datos bancarios y acabó suscrita a un servicio que no quería.

Antes de abrir un QR

• Desconfía del origen. Un QR en un correo inesperado o en un papel que no sabes quién ha puesto merece la misma desconfianza que un enlace sospechoso.
• Comprueba que no es una pegatina sobre el código original (pasa el dedo: si hay un relieve o está mal pegado, no lo uses).
• Mira la dirección antes de abrirla. La cámara del móvil muestra la web antes de entrar: comprueba que el dominio es el de la empresa (por ejemplo, el ayuntamiento o la empresa del parquímetro) y no una imitación. Puedes leer el QR sin abrirlo con nuestro lector de QR y revisar el enlace con analizar enlace.
• No metas datos bancarios ni contraseñas en una web a la que has llegado por un QR si tienes la mínima duda. Para pagar el aparcamiento, usa la app oficial o paga en la máquina.
• No instales aplicaciones desde un QR: descárgalas solo de Google Play o la App Store.

Recuerda que ningún banco ni servicio serio te pedirá escanear un QR para «verificar tu cuenta» o «evitar el bloqueo».

Si ya caíste

1. Si metiste datos de tu tarjeta, llama ya a tu banco para bloquearla.
2. Si metiste una contraseña, cámbiala en la web real (escribiendo tú la dirección) y en cualquier otro sitio donde la uses. Sigue los pasos de me han robado la cuenta si ya no puedes entrar.
3. Si te suscribiste a algo sin querer, contacta con tu operadora o tu banco para darte de baja y reclamar los cargos.
4. Pide ayuda a la Línea de Ayuda en Ciberseguridad de INCIBE (017) y denúncialo si has perdido dinero.

Más sobre cómo funcionan los códigos QR en qué es un código QR.