Con la llegada del buen tiempo, las terrazas vuelven a llenarse y cada vez es más habitual consultar la carta de un bar o restaurante escaneando un código QR. Es rápido, cómodo… pero también puede ser una puerta de entrada para los ciberdelincuentes.

Antes de disfrutar de una comida o una bebida en una terraza, cada vez es más habitual sacar el móvil y escanear un código QR para consultar la carta. Es un gesto que apenas lleva unos segundos y que millones de personas realizan cada día sin pensar en los riesgos que puede esconder. Sin embargo, los expertos en ciberseguridad advierten del aumento de una modalidad de fraude conocida como quishing, una amenaza que aprovecha precisamente la confianza que depositamos en los códigos QR.

El término quishing surge de la combinación de las palabras QR y phishing. Consiste en sustituir un código QR legítimo por otro manipulado o crear códigos falsos que dirigen a la víctima a páginas web fraudulentas diseñadas para robar información personal y financiera.

En muchos casos, el engaño es prácticamente imposible de detectar a simple vista. Un ciberdelincuente puede colocar una pegatina con un nuevo QR encima del original en la mesa de un restaurante, en un cartel informativo, en un parquímetro, en una estación de transporte o incluso en una máquina expendedora. Cuando el usuario lo escanea, es redirigido a una web que imita perfectamente la página oficial del establecimiento o del servicio.

A partir de ese momento pueden ocurrir varias situaciones. La más común es que se solicite al usuario introducir sus datos de acceso, su correo electrónico o incluso los datos de su tarjeta bancaria con cualquier excusa. También existen páginas que descargan archivos maliciosos en el dispositivo o solicitan permisos que permiten acceder a información privada del teléfono.

¿Qué datos pueden robar?

Los delincuentes buscan cualquier información que pueda tener valor económico o que les permita suplantar la identidad de la víctima. Entre los datos más habituales se encuentran:

• Nombres y apellidos.
• Dirección de correo electrónico.
• Contraseñas.
• Números de teléfono.
• Datos bancarios y tarjetas de crédito.
• Credenciales de redes sociales.
• Accesos a servicios de banca online.
• Información personal almacenada en el dispositivo.

En algunos casos, un único dato robado puede servir para acceder a otros servicios si el usuario reutiliza la misma contraseña en diferentes plataformas.

Las consecuencias pueden ser muy graves

Un simple escaneo puede terminar provocando importantes pérdidas económicas o problemas de identidad digital. Entre las consecuencias más habituales destacan:

• Compras fraudulentas con tarjetas bancarias.
• Vaciado de cuentas mediante acceso a la banca electrónica.
• Suplantación de identidad en redes sociales.
• Robo de cuentas de correo electrónico.
• Extorsión utilizando información personal obtenida del dispositivo.
• Acceso a fotografías, documentos o conversaciones privadas.
• Utilización de las cuentas robadas para estafar a familiares y amigos.

En algunos casos, los ciberdelincuentes utilizan la información obtenida para venderla posteriormente en mercados ilegales de Internet o para preparar ataques más sofisticados contra la víctima.

Ejemplos reales

Aunque muchos relacionan este fraude únicamente con las cartas digitales de los restaurantes, los códigos QR están presentes prácticamente en cualquier ámbito de nuestra vida diaria.

Algunos ejemplos habituales son:

• Un QR falso colocado sobre la carta digital de un restaurante que solicita introducir los datos bancarios para acceder al menú.
• Pegatinas sobre los códigos QR de los parquímetros para redirigir el pago del estacionamiento a una web fraudulenta.
• Carteles de eventos con códigos manipulados que conducen a páginas falsas de venta de entradas.
• Códigos QR enviados por correo electrónico o aplicaciones de mensajería simulando promociones, sorteos o descuentos.
• Publicidad colocada en escaparates o marquesinas con enlaces a páginas diseñadas para robar credenciales.

Cómo protegerse

Los especialistas recomiendan adoptar unas sencillas medidas de prevención:

• Revisar que el código QR no haya sido manipulado o pegado encima de otro.
• Comprobar siempre la dirección web antes de abrir el enlace.
• Desconfiar si la página solicita datos personales o bancarios sin motivo.
• No introducir contraseñas tras acceder mediante un QR si existen dudas sobre la autenticidad de la web.
• Mantener actualizado el sistema operativo y el navegador del teléfono móvil.
• Utilizar, siempre que sea posible, la aplicación oficial del establecimiento o escribir manualmente la dirección web.
• Si algo resulta sospechoso, solicitar la carta física o consultar directamente con el personal del local.

La prevención sigue siendo la mejor defensa

Los códigos QR han llegado para quedarse y ofrecen una forma rápida y cómoda de acceder a información y servicios. Sin embargo, esa comodidad también ha despertado el interés de los ciberdelincuentes, que buscan aprovechar cualquier descuido para obtener beneficios ilícitos.

En un verano en el que millones de personas utilizarán códigos QR en bares, restaurantes, hoteles, playas y eventos, dedicar apenas unos segundos a comprobar el enlace antes de pulsarlo puede marcar la diferencia entre disfrutar de una comida tranquila o convertirse en víctima de una estafa digital.

En ciberseguridad, la confianza nunca debe sustituir a la verificación. Un simple vistazo al destino del QR puede evitar el robo de datos, dinero e incluso de tu identidad digital.