"Quishing": estafas con códigos QR y enlaces en SMS

"Quishing": estafas con códigos QR y enlaces en SMS

Escaneas un código QR y el celular abre directamente una web. No leíste ninguna dirección, no escribiste nada, no decidiste a dónde ir: el QR decidió por ti. Esa comodidad es exactamente lo que explota el quishing (QR + phishing): códigos QR y enlaces acortados que esconden su destino para llevarte a webs falsas donde robarte datos o dinero.

El quishing no es una técnica aparte del smishing (como los SMS falsos que suplantan a SUNAT o a un banco): es el mismo engaño con el enlace mejor escondido. Donde el SMS falso de una papeleta o de un paquete retenido todavía te deja ver un dominio sospechoso si te fijas, el QR no te deja ver nada hasta que ya lo escaneaste.

Dónde aparecen los QR falsos

• Parquímetros y zonas de estacionamiento tarifado. Stickers con un QR falso pegados encima del QR real de la municipalidad o de la app de pago. Escaneas, llegas a una web que imita el pago del estacionamiento e ingresas los datos de tu tarjeta.
• Cartas de restaurantes. Un QR pegado sobre el original. Aquí el objetivo suele ser que instales una app falsa o que entres a una web de phishing con cualquier excusa.
• Papeletas y avisos en el parabrisas. Falsos avisos de papeleta con un QR "para pagar con descuento". Si te dejan uno, consulta tú tus papeletas en la web oficial del SAT de Lima, de tu municipalidad provincial o de SUTRAN.
• Paquetes y entregas. QR en stickers o en SMS ("escanea para reprogramar tu entrega"), una variante del fraude de paquetería que suplanta a Serpost o a couriers como Olva Courier y Shalom.
• SMS y correos con QR. El mensaje te pide escanear un QR en vez de abrir un enlace, a veces con la excusa de la "verificación en dos pasos" o de la "seguridad". También sirve para burlar los filtros antiphishing, que revisan enlaces pero no imágenes.
• Pagos y criptomonedas. QR que supuestamente contienen una dirección de cobro o un "reembolso". Y si pagas con Yape o Plin escaneando el QR de un negocio, un sticker con otro código encima del original puede desviar tu pago a una cuenta ajena. Una vez enviado el dinero, no hay vuelta atrás.

La regla: mira el destino antes de entrar

Con un enlace normal puedes leer la dirección antes de abrirlo. Con un QR no, así que hay que agregar ese paso a mano:

1. Escanea, pero no entres todavía. La mayoría de celulares muestran la URL completa antes de abrirla. Ese es el momento de decidir: léela entera, sin apuro.
2. Comprueba el dominio. Debe ser el oficial del servicio, sin guiones extra ni terminaciones raras. Si el QR del parquímetro te lleva a un dominio que no es el de la municipalidad o el de la app oficial, es falso.
3. Si algo no cuadra, no entres: ve tú al canal oficial. Abre la app oficial del estacionamiento, del banco o de la tienda y haz el trámite allí. Es el mismo método que usamos para verificar una llamada o un SMS del banco, que tienes en nuestras situaciones.
4. Desconfía de los QR que te apuran. "Escanea ya", "último aviso", "tu paquete se devuelve hoy". La urgencia es la firma del fraude, en un QR igual que en un SMS.

Y un consejo físico para los QR pegados en la calle: fíjate si hay un sticker encima de otro. Si el QR del parquímetro está en un sticker que parece añadido después, o tapa otro código, no lo uses. Paga desde la app oficial que ya tengas instalada. Y en una tienda, si el QR de Yape o Plin parece pegado encima de otro, pregunta en caja antes de pagar y, al confirmar, revisa que el destinatario que te muestra la app sea el negocio.

Qué hacer si ya escaneaste y diste datos

• Ingresaste los datos de tu tarjeta en la web de destino: llama a tu banco ya, bloquea la tarjeta y pide una nueva. Vigila los cargos de las semanas siguientes.
• Descargaste una app desde el QR: desinstálala, pasa un antivirus por el celular y revisa los permisos que le diste (SMS, accesibilidad y notificaciones son los peligrosos).
• Solo escaneaste y cerraste: casi seguro que no pasó nada. Escanear por sí solo no instala nada ni entrega datos; el riesgo empieza cuando interactúas con la web.
• Denuncia en una comisaría de la PNP o ante la Fiscalía, con fotos del QR (si estaba en la calle, foto del sticker y de su ubicación) y capturas de la web.
• Si el QR te llegó por SMS o en una llamada, reporta el número en el directorio de números spam.

Preguntas rápidas

¿Escanear un QR puede hackearme el celular? Escanear por sí solo, no: el QR solo contiene texto (normalmente una URL). El peligro está en la web a la que te lleva y en lo que haces allí: ingresar datos, descargar archivos o dar permisos. Por eso la defensa es revisar el destino antes de entrar.

¿Los enlaces acortados (bit.ly y similares) son lo mismo? Es el mismo problema: esconden el destino. Los acortadores legítimos permiten ver una vista previa (muchos agregando un "+" al final de la URL), pero la regla práctica es igual: si no sabes a dónde lleva y te apura a abrirlo, no lo abras y ve tú al canal oficial.

¿Mi banco me puede mandar un QR legítimo? Sí, por ejemplo para vincular la app o confirmar operaciones... dentro de procesos que TÚ iniciaste. Un QR del banco que te llega sin que hayas pedido nada sigue la regla general: no lo uses y entra tú a la app oficial.

¿Cómo protejo a una persona mayor de esto? Con una frase: "no pagues nada escaneando un QR de la calle; usa la app que ya tienes". Los QR pegados en lugares públicos son los más arriesgados. Tienes más consejos en nuestro blog.

El resumen cabe en una línea: el QR es un enlace que no puedes leer, así que léelo antes de entrar. Escanea, mira la URL y, si no es el dominio oficial, cierra y ve tú al canal oficial. Ese segundo de pausa desmonta el quishing entero.