"Quishing": estafas con códigos QR y enlaces en SMS

"Quishing": estafas con códigos QR y enlaces en SMS

Escaneás un código QR y el celular abre directamente una página web. No leíste ninguna dirección, no tipeaste nada, no decidiste adónde ir: el QR decidió por vos. Esa comodidad es exactamente lo que explota el quishing (QR + phishing): códigos QR y enlaces acortados que esconden su destino para llevarte a sitios falsos donde robarte datos o plata.

El quishing no es una técnica distinta del smishing (como el SMS falso de una multa de tránsito): es el mismo engaño con el enlace mejor escondido. Mientras que el SMS falso de una multa o el del paquete retenido (que explicamos en otra guía de Situaciones) todavía te dejan ver un dominio sospechoso si prestás atención, el QR no te deja ver nada hasta que ya lo escaneaste.

Dónde aparecen los QR falsos

• Estacionamiento medido. Stickers con un QR falso pegados encima del QR real del municipio o de la app de pago. Escaneás, llegás a una página que imita el pago del estacionamiento y cargás los datos de tu tarjeta.
• Menús de bares y restaurantes. Un QR pegado sobre el original. Acá el objetivo suele ser que instales una app falsa o que entres a una página de phishing con cualquier excusa.
• Multas y avisos en el parabrisas. Falsos avisos de infracción con un QR "para pagar con descuento". Es el mismo gancho que el SMS falso de multa, en papel. Las multas reales las gestiona la autoridad de tránsito de tu municipio o provincia, por sus canales oficiales.
• Paquetes y entregas. QR en stickers o en SMS ("escaneá para reprogramar tu entrega"), una variante de la estafa del paquete retenido.
• Mails y SMS con QR. El mensaje te pide escanear un QR en lugar de tocar un enlace, a veces con la excusa de la "verificación en dos pasos" o de la "seguridad". También sirve para esquivar los filtros antiphishing, que revisan enlaces pero no imágenes.
• Criptomonedas y pagos. QR que supuestamente contienen una dirección de cobro o un "reembolso". Una vez que mandaste la plata, no hay vuelta atrás.

La regla: mirá el destino antes de entrar

Con un enlace común podés leer la dirección antes de tocarlo. Con un QR no, así que hay que agregar ese paso a mano:

1. Escaneá, pero no entres todavía. La mayoría de los celulares muestran la URL completa antes de abrirla. Ese es el momento de decidir: leela entera, sin apuro.
2. Revisá el dominio. Tiene que ser el oficial del servicio, sin guiones de más ni terminaciones raras. Si el QR del estacionamiento te lleva a un dominio que no es el del municipio o el de la app oficial, es falso.
3. Si algo no cierra, no entres: andá vos al canal oficial. Abrí la app oficial del estacionamiento, del banco o de la tienda y hacé el trámite ahí. Es el mismo método que usamos para verificar un llamado o un SMS de tu banco.
4. Desconfiá de los QR con apuro. "Escaneá ya", "último aviso", "tu paquete se devuelve hoy". La urgencia es la firma del fraude, en un QR igual que en un SMS.

Y un consejo físico para los QR pegados en la calle: fijate si hay un sticker encima de otro. Si el QR del estacionamiento está en un sticker que parece agregado después, o tapa otro código, no lo uses. Pagá desde la app oficial que ya tengas instalada.

Qué hacer si ya escaneaste y diste datos

• Cargaste los datos de tu tarjeta en la página de destino: llamá ya a tu banco, bloqueá la tarjeta y pedí una nueva. Controlá los consumos de las semanas siguientes. Si aparecen operaciones que no reconocés y el banco no resuelve tu reclamo formal, podés reclamar ante el BCRA por fraude o estafa.
• Descargaste una app desde el QR: desinstalala, pasale un antivirus al celular y revisá los permisos que le diste (SMS, accesibilidad y notificaciones son los peligrosos).
• Solo escaneaste y cerraste: casi seguro que no pasó nada. Escanear por sí solo no instala nada ni entrega datos; el riesgo empieza cuando interactuás con la página.
• Denunciá con fotos del QR (si estaba en la calle, una foto del sticker y del lugar) y capturas de la página, en una comisaría o en una fiscalía, o por mail a la UFECI ([email protected]).
• Si el QR te llegó por SMS o en un llamado, reportá el número en el directorio de números spam.

Preguntas rápidas

¿Escanear un QR me puede hackear el celular? Escanear por sí solo, no: el QR solo contiene texto (normalmente una URL). El peligro está en la página a la que te lleva y en lo que hacés ahí: cargar datos, descargar archivos o dar permisos. Por eso la defensa es revisar el destino antes de entrar.

¿Los enlaces acortados (bit.ly y similares) son lo mismo? Es el mismo problema, sí: esconden el destino. Los acortadores legítimos permiten ver una vista previa (en muchos, agregando un "+" al final de la URL), pero la regla práctica es la misma: si no sabés adónde lleva y te apura para que entres, no entres y andá vos al canal oficial.

¿Mi banco me puede mandar un QR legítimo? Sí, por ejemplo para vincular la app o confirmar operaciones... dentro de trámites que VOS iniciaste. Un QR del banco que te llega sin que hayas pedido nada sigue la regla general: no lo uses y entrá vos a la app oficial. Y cuando pagás con QR en un comercio, hacelo desde la app de tu billetera (Mercado Pago, MODO u otra) y, antes de confirmar, revisá a quién le estás pagando y cuánto.

¿Cómo protejo a una persona mayor de esto? Con una frase: "no pagues nada escaneando un QR de la calle; usá la app que ya tenés". El QR del estacionamiento es un buen ejemplo para explicarlo. Los mismos hábitos sirven contra el cuento del tío y otras estafas telefónicas: tenés más guías en Situaciones.

El resumen entra en una línea: el QR es un enlace que no podés leer, así que leelo antes de entrar. Escaneá, mirá la URL y, si no es el dominio oficial, cerrá y andá vos al canal oficial. Ese segundo de pausa desarma el quishing entero.