Quishing: fraudes con códigos QR y enlaces en SMS

Quishing: fraudes con códigos QR y enlaces en SMS

Escanea un código QR y el celular abre directamente una página web. No leyó ninguna dirección, no tecleó nada, no decidió a dónde ir: el QR decidió por usted. Esa comodidad es justo lo que aprovecha el quishing (QR + phishing): códigos QR y enlaces acortados que esconden su destino para llevarlo a páginas falsas donde le roban datos o dinero.

El quishing no es una técnica distinta del smishing (como el SMS falso de una multa o una fotomulta): es el mismo engaño con el enlace mejor escondido. Mientras que en un SMS falso de multa o de paquetería todavía puede ver un dominio sospechoso si se fija, el QR no le deja ver nada hasta que ya lo escaneó.

Dónde aparecen los QR falsos

• Parquímetros y zonas de estacionamiento. Calcomanías con un QR falso pegadas encima del QR real del municipio o de la app de pago. Usted escanea, llega a una página que imita el pago del estacionamiento y captura los datos de su tarjeta.
• Menús de restaurantes. Un QR pegado sobre el original. Aquí el objetivo suele ser que usted instale una app falsa o que entre a una página de phishing con cualquier pretexto.
• Multas y avisos en el parabrisas. Falsos avisos de infracción con un QR "para pagar con descuento". El mismo anzuelo que el SMS falso de multa, pero en papel.
• Paquetes y entregas. QR en calcomanías o en SMS ("escanee para reprogramar su entrega"), una variante del fraude de paquetería.
• Correo electrónico y SMS con QR. El mensaje le pide escanear un QR en vez de abrir un enlace, a veces con el pretexto de la "verificación en dos pasos" o de la "seguridad". También sirve para burlar los filtros antiphishing, que revisan enlaces pero no imágenes.
• Criptomonedas y pagos. QR que supuestamente contienen una dirección de cobro o un "reembolso". Una vez enviado el dinero, no hay vuelta atrás.

La regla: revise el destino antes de entrar

Con un enlace normal puede leer la dirección antes de abrirlo. Con un QR no, así que hay que agregar ese paso a mano:

1. Escanee, pero no entre todavía. La mayoría de los celulares muestran la dirección completa antes de abrirla. Ese es el momento de decidir: léala completa, sin prisa.
2. Revise el dominio. Debe ser el oficial del servicio, sin guiones de más ni terminaciones raras. Si el QR del parquímetro lo lleva a un dominio que no es el del municipio o el de la app oficial, es falso.
3. Si algo no cuadra, no entre: vaya usted al canal oficial. Abra la app oficial del estacionamiento, del banco o de la tienda y haga el trámite ahí. Es el mismo método que usamos para verificar una llamada o un SMS de su banco, que encontrará en nuestras guías por situación.
4. Desconfíe de los QR con prisa. "Escanee ya", "último aviso", "su paquete se devuelve hoy". La urgencia es la firma del fraude, en un QR igual que en un SMS.

Y un consejo práctico para los QR pegados en la calle: fíjese si hay una calcomanía encima de otra. Si el QR del parquímetro está en una calcomanía que parece añadida después, o tapa otro código, no lo use. Pague desde la app oficial que ya tenga instalada.

Qué hacer si ya escaneó y dio datos

• Capturó los datos de su tarjeta en la página: llame a su banco de inmediato, bloquee la tarjeta y pida una nueva. Vigile los cargos de las semanas siguientes. Si el banco no le resuelve, puede presentar una queja ante la CONDUSEF.
• Descargó una app desde el QR: desinstálela, pase un antivirus en el celular y revise los permisos que le dio (SMS, accesibilidad y notificaciones son los peligrosos).
• Solo escaneó y cerró: casi seguro que no pasó nada. Escanear por sí solo no instala nada ni entrega datos; el riesgo empieza cuando interactúa con la página.
• La página imitaba a un banco: consúltela y repórtela en el Portal de Fraudes Financieros de la CONDUSEF, que reúne números, páginas y correos que suplantan a bancos y financieras.
• Denuncie ante la Fiscalía de su estado (Ministerio Público) con fotos del QR (si estaba en la calle, una foto de la calcomanía y de su ubicación) y capturas de la página. La Policía Cibernética de su estado también orienta en estos casos; en la Ciudad de México, la de la Secretaría de Seguridad Ciudadana (SSC).
• Si el QR le llegó por SMS o en una llamada, reporte el número en el directorio de números spam.

Preguntas rápidas

¿Escanear un QR puede hackear mi celular? Escanear por sí solo, no: el QR solo contiene texto (normalmente una dirección web). El peligro está en la página a la que lo lleva y en lo que usted hace ahí: capturar datos, descargar archivos o dar permisos. Por eso la defensa es revisar el destino antes de entrar.

¿Los enlaces acortados (bit.ly y similares) son lo mismo? El mismo problema, sí: ocultan el destino. Los acortadores legítimos permiten ver una vista previa (muchos agregando un "+" al final de la dirección), pero la regla práctica es igual: si no sabe a dónde lleva y le urgen a abrirlo, no lo abra y vaya usted al canal oficial.

¿Mi banco me puede mandar un QR legítimo? Sí, por ejemplo para vincular la app o confirmar operaciones... dentro de trámites que USTED inició. Un QR del banco que le llega sin que haya pedido nada sigue la regla general: no lo use y entre usted a la app oficial.

¿Cómo protejo a una persona mayor de esto? Con una frase: "no pagues nada escaneando un QR de la calle; usa la app que ya tienes". Repítala hasta que se vuelva costumbre. En el blog de NoCall encontrará más consejos de prevención para compartir con su familia.

El resumen cabe en una línea: el QR es un enlace que no puede leer, así que léalo antes de entrar. Escanee, mire la dirección y, si no es el dominio oficial, cierre y vaya usted al canal oficial. Ese segundo de pausa desarma el quishing por completo.