"Quishing": estafas con códigos QR y enlaces en SMS

"Quishing": estafas con códigos QR y enlaces en SMS

Usted escanea un código QR y el celular abre directamente una página. No leyó ninguna dirección, no escribió nada, no decidió a dónde ir: el QR decidió por usted. Esa comodidad es exactamente lo que explota el quishing (QR + phishing): códigos QR y enlaces acortados que esconden su destino para llevarlo a páginas falsas donde le roban datos o plata.

El quishing no es una técnica aparte del smishing (como el SMS falso de un comparendo o de un paquete retenido): es el mismo engaño con el enlace mejor escondido. Donde el SMS falso todavía le deja ver un dominio sospechoso si se fija, el QR no le deja ver nada hasta que ya lo escaneó.

Dónde aparecen los QR falsos

• Parqueaderos y zonas de parqueo pago. Stickers con un QR falso pegados encima del QR real del parqueadero o de la app de pago. Usted lo escanea, llega a una página que imita el pago del parqueo y mete los datos de su tarjeta.
• QR de pago en tiendas y restaurantes. Un QR pegado sobre el original, en la caja o en la carta. La plata termina en la cuenta del estafador, o el código lo lleva a instalar una app falsa o a una página de phishing con cualquier excusa.
• Comparendos falsos. Avisos en el parabrisas o mensajes de supuestos comparendos con un QR "para pagar con descuento". Los comparendos reales se consultan en el SIMIT, no en un código que alguien le dejó en el carro.
• Paquetes y envíos. QR en stickers o en SMS ("escanee para reprogramar su entrega"), una variante del fraude de paquetería que suplanta a 4-72 o a las transportadoras.
• Mensajes con QR. Un correo o un SMS le pide escanear un QR en lugar de abrir un enlace, a veces con la excusa de la "verificación en dos pasos" o de la "seguridad". También sirve para saltarse los filtros antiphishing, que revisan enlaces pero no imágenes.
• Criptomonedas y pagos. QR que supuestamente contienen una dirección de cobro o un "reembolso". Una vez enviada la plata, no hay vuelta atrás.

La regla: mire el destino antes de entrar

Con un enlace normal puede leer la dirección antes de abrirla. Con un QR no, así que hay que agregar ese paso a mano:

1. Escanee, pero no entre todavía. La mayoría de celulares muestran la URL completa antes de abrirla. Ese es el momento de decidir: léala completa, sin afán.
2. Revise el dominio. Debe ser el oficial del servicio, sin guiones de más ni terminaciones raras. Si el QR del parqueadero lo lleva a un dominio que no es el de la empresa o el de la app oficial, es falso.
3. Si algo no cuadra, no entre: vaya usted al canal oficial. Abra la app oficial del parqueadero, del banco o de la tienda y haga el trámite allí. Es el mismo método que recomendamos en Situaciones para verificar una llamada o un SMS de su banco.
4. Desconfíe de los QR con afán. "Escanee ya", "último aviso", "su paquete se devuelve hoy". La urgencia es la firma del fraude, en un QR igual que en un SMS.

Y un consejo físico para los QR pegados en la calle o en un local: fíjese si hay un sticker encima de otro. Si el QR está en un sticker que parece añadido después, o tapa otro código, no lo use. Pague desde la app oficial que tenga instalada o pregunte en la caja.

Qué hacer si ya escaneó y dio datos

• Metió la tarjeta en la página de destino: llame ya a su banco, bloquee la tarjeta y pida una nueva. Vigile los cobros de las semanas siguientes.
• Le pagó a un QR que resultó falso: avísele de inmediato a su banco o a su billetera (Nequi, Daviplata) y guarde el comprobante.
• Descargó una app desde el QR: desinstálela, pase el antivirus del celular y revise los permisos que le dio (SMS, accesibilidad y notificaciones son los peligrosos).
• Solo escaneó y cerró: casi seguro no pasó nada. Escanear por sí solo no instala nada ni entrega datos; el riesgo empieza cuando interactúa con la página.
• Denuncie con fotos del QR (si estaba en la calle, foto del sticker y del lugar) y capturas de la página. En el CAI Virtual de la Policía puede denunciar y pedir orientación.
• Si el QR le llegó por SMS o en una llamada, reporte el número en el directorio de números spam.

Preguntas rápidas

¿Escanear un QR me puede hackear el celular? Escanear por sí solo, no: el QR solo contiene texto (normalmente una URL). El peligro está en la página a la que lo lleva y en lo que haga allí: meter datos, descargar archivos o dar permisos. Por eso la defensa es revisar el destino antes de entrar.

¿Los enlaces acortados (bit.ly y similares) son lo mismo? El mismo problema, sí: esconden el destino. Los acortadores legítimos permiten previsualizar (muchos agregando un "+" al final de la URL), pero la regla práctica es igual: si no sabe a dónde lleva y le mete afán, no lo abra y vaya usted al canal oficial.

¿Mi banco me puede mandar un QR legítimo? Sí, por ejemplo para vincular la app o confirmar operaciones... dentro de procesos que USTED inició. Un QR del banco que le llega sin haber pedido nada sigue la regla general: no lo use y entre usted a la app oficial.

¿Cómo protejo a una persona mayor de esto? Con una frase: "no pague nada escaneando un QR que encuentre pegado en la calle o que le llegue en un mensaje; use la app que ya tiene". Tiene más consejos en nuestro blog.

El resumen cabe en una línea: el QR es un enlace que no puede leer, así que léalo antes de entrar. Escanee, mire la URL y, si no es el dominio oficial, cierre y vaya usted al canal oficial. Ese segundo de pausa desmonta todo el quishing.