Quishing: estafas con códigos QR y enlaces en SMS

Quishing: estafas con códigos QR y enlaces en SMS

Escaneas un código QR y el celular abre directamente una página web. No leíste ninguna dirección, no escribiste nada, no decidiste a dónde ir: el QR decidió por ti. Esa comodidad es justo lo que explota el quishing (QR + phishing): códigos QR y links acortados que esconden su destino para llevarte a páginas falsas donde robarte datos o dinero.

El quishing no es una técnica distinta del smishing (como el SMS falso de cobro de autopista o TAG): es el mismo engaño con el link mejor escondido. Mientras el SMS falso de una autopista o de un courier todavía te deja ver un dominio sospechoso si te fijas, el QR no te deja ver nada hasta que ya lo escaneaste. Tienes esos otros casos en nuestras guías de situaciones.

Dónde aparecen los QR falsos

• Parquímetros y estacionamientos pagados. Stickers con un QR falso pegados encima del QR real de la municipalidad o de la app de pago. Escaneas, llegas a una página que imita el pago del estacionamiento e ingresas tu tarjeta. Basta un sticker para desviar el pago.
• Cartas de restaurantes y terrazas. Un QR pegado sobre el original. Aquí el objetivo suele ser que instales una app falsa o llevarte a una página de phishing con cualquier excusa.
• Multas y avisos en el parabrisas. Falsos avisos de infracción con un QR "para pagar y evitar recargos". El mismo gancho que el SMS falso de multa o de deuda de TAG, pero en papel.
• Paquetes y entregas. QR en stickers o en SMS ("escanea para reprogramar tu entrega"), una variante del fraude de los couriers.
• Correo electrónico y SMS con QR. El mensaje te pide escanear un QR en vez de tocar un link, a veces con la excusa de la "verificación en dos pasos" o de la "seguridad". También sirve para saltarse los filtros antiphishing, que revisan links pero no imágenes.
• Criptomonedas y pagos. QR que supuestamente contienen una dirección de cobro o un "reembolso". Una vez que mandas el dinero, no hay vuelta atrás.

La regla: mira el destino antes de entrar

Con un link normal puedes leer la dirección antes de abrirlo. Con un QR no, así que hay que agregar ese paso a mano:

1. Escanea, pero no entres todavía. La mayoría de los celulares muestran la URL completa antes de abrirla. Ese es el momento de decidir: léela entera, sin apuro.
2. Revisa el dominio. Debe ser el oficial del servicio, sin guiones extra ni terminaciones raras. Si el QR del parquímetro te lleva a un dominio que no es el de la municipalidad o el de la app oficial, es falso.
3. Si algo no cuadra, no entres: ve tú al canal oficial. Abre la app oficial del estacionamiento, del banco o de la tienda y haz el trámite ahí. Es el mismo método que recomendamos para verificar una llamada o un SMS de tu banco.
4. Desconfía de los QR con apuro. "Escanea ya", "último aviso", "tu paquete se devuelve hoy". La urgencia es la firma del fraude, en un QR igual que en un SMS.

Y un consejo físico para los QR pegados en la calle: fíjate si hay un sticker encima de otro. Si el QR del parquímetro está en un sticker que parece agregado después, o tapa otro código, no lo uses. Paga desde la app oficial que ya tengas instalada.

Qué hacer si ya escaneaste y diste datos

• Ingresaste tu tarjeta en la página de destino: llama a tu banco de inmediato, bloquea la tarjeta y pide una nueva. Revisa los cargos de las semanas siguientes y, si el banco no te responde, recuerda que la CMF es el organismo que supervisa a los bancos.
• Descargaste una app desde el QR: desinstálala, pasa un antivirus por el celular y revisa los permisos que le diste (SMS, accesibilidad y notificaciones son los peligrosos).
• Solo escaneaste y cerraste: casi seguro que no pasó nada. Escanear por sí solo no instala nada ni entrega datos; el riesgo empieza cuando interactúas con la página.
• Denuncia en Carabineros, en la PDI o en la Fiscalía, con fotos del QR (si estaba en la calle, una foto del sticker y de su ubicación) y capturas de la página.
• Si el QR te llegó por SMS o en una llamada, reporta el número en el directorio de números spam.

Preguntas rápidas

¿Escanear un QR puede hackear mi celular? Escanear por sí solo, no: el QR solo contiene texto (normalmente una URL). El peligro está en la página a la que te lleva y en lo que haces ahí: ingresar datos, descargar archivos o dar permisos. Por eso la defensa es revisar el destino antes de entrar.

¿Los links acortados (bit.ly y similares) son lo mismo? El mismo problema, sí: ocultan el destino. Los acortadores legítimos permiten previsualizar (muchos con un "+" al final de la URL), pero la regla práctica es igual: si no sabes a dónde lleva y te apura a abrirlo, no lo abras y ve tú al canal oficial.

¿Mi banco me puede mandar un QR legítimo? Sí, por ejemplo para vincular la app o confirmar operaciones... dentro de procesos que TÚ iniciaste. Un QR del banco que te llega sin que hayas pedido nada sigue la regla general: no lo uses y entra tú a la app oficial.

¿Cómo protejo de esto a una persona mayor? Con una frase: "no pagues nada escaneando un QR de la calle; usa la app que ya tienes". Los QR pegados en la vía pública, como los de los parquímetros, son los más fáciles de adulterar. Tienes más consejos para proteger a tu familia en el blog de NoCall.

El resumen cabe en una línea: el QR es un link que no puedes leer, así que léelo antes de entrar. Escanea, mira la URL y, si no es el dominio oficial, cierra y ve tú al canal oficial. Ese segundo de pausa desarma el quishing entero.