Quishing: estafas con códigos QR y enlaces en SMS

Quishing: estafas con códigos QR y enlaces en SMS

Escaneas un código QR y el celular abre directamente una página web. No leíste ninguna dirección, no escribiste nada, no decidiste a dónde ir: el QR decidió por ti. Esa comodidad es justo lo que aprovecha el quishing (QR + phishing): códigos QR y enlaces acortados que esconden su destino para llevarte a páginas falsas donde robarte datos o dinero.

El quishing no es una técnica distinta del smishing (como el SMS falso que promete un bono): es el mismo engaño con el enlace mejor escondido. Donde el SMS falso de un bono o de una encomienda todavía te deja ver un dominio sospechoso si te fijas, el QR no te deja ver nada hasta que ya lo escaneaste.

Dónde aparecen los QR falsos

• Estacionamientos y puntos de cobro. Calcomanías con un QR falso pegadas encima del QR real de un estacionamiento, un kiosco o un comercio. Escaneas, llegas a una página que imita el pago y colocas los datos de tu tarjeta.
• Menús de restaurantes y locales. Un QR pegado sobre el original. Aquí el objetivo suele ser que instales una app falsa o llevarte a una página de phishing con cualquier excusa.
• Bonos y ayudas. QR o enlaces que prometen cobrar un bono del Sistema Patria o una ayuda "aprobada a tu nombre". Es el mismo gancho que el SMS falso del bono, en otro formato.
• Paquetes y encomiendas. QR en calcomanías o en SMS ("escanea para reprogramar tu entrega"), una variante del fraude de paquetería.
• Mensajes y correos con QR. El mensaje te pide escanear un QR en vez de abrir un enlace, a veces con la excusa de la "verificación en dos pasos" o de la "seguridad". También sirve para saltarse los filtros antiphishing, que revisan enlaces pero no imágenes.
• Criptomonedas y pagos. QR que supuestamente contienen una dirección de cobro en USDT o un "reembolso". Una vez enviado el dinero, no hay vuelta atrás.

La regla: mira el destino antes de entrar

Con un enlace normal puedes leer la dirección antes de abrirlo. Con un QR no, así que hay que agregar ese paso a mano:

1. Escanea, pero no entres todavía. La mayoría de los celulares muestran la dirección completa antes de abrirla. Ese es el momento de decidir: léela entera, sin apuro.
2. Comprueba el dominio. Debe ser el oficial del servicio, sin guiones extra ni extensiones raras. Si el QR del estacionamiento te lleva a un dominio que no es el del comercio o el de su app oficial, es falso.
3. Si algo no cuadra, no entres: ve tú al canal oficial. Abre la app oficial del banco, de la tienda o del servicio y haz el trámite ahí. Es el mismo método que te explicamos para verificar una llamada o un SMS del banco. Si tienes dudas con un enlace, también puedes revisarlo con las herramientas de seguridad de NoCall.
4. Desconfía de los QR que te apuran. "Escanea ya", "último aviso", "tu paquete se devuelve hoy". La urgencia es la firma del fraude, en un QR igual que en un SMS.

Y un consejo práctico para los QR pegados en la calle o en un local: fíjate si hay una calcomanía sobre otra. Si el QR está en una calcomanía que parece añadida después, o tapa otro código debajo, no lo uses. Paga desde la app oficial que ya tengas instalada o con otro método.

Qué hacer si ya escaneaste y diste datos

• Colocaste la tarjeta en la página de destino: llama ya a tu banco, bloquea la tarjeta y pide una nueva. Vigila los cargos de las semanas siguientes.
• Descargaste una app desde el QR: desinstálala, pásale un antivirus al celular y revisa los permisos que le diste (SMS, accesibilidad y notificaciones son los peligrosos).
• Solo escaneaste y cerraste: casi seguro que no pasó nada. Escanear por sí solo no instala nada ni entrega datos; el riesgo empieza cuando interactúas con la página.
• Denuncia ante el Ministerio Público o el CICPC, con fotos del QR (si estaba en la calle, foto de la calcomanía y del lugar) y capturas de la página.
• Si el QR te llegó por SMS o por una llamada, reporta el número en el directorio de números spam.

Preguntas rápidas

¿Escanear un QR me puede hackear el celular? Escanear por sí solo, no: el QR solo contiene texto (normalmente una dirección web). El peligro está en la página a la que te lleva y en lo que haces ahí: colocar datos, descargar archivos o dar permisos. Por eso la defensa es revisar el destino antes de entrar.

¿Los enlaces acortados (bit.ly y similares) son lo mismo? El mismo problema, sí: esconden el destino. Los acortadores legítimos permiten ver una vista previa (muchos agregando un "+" al final de la dirección), pero la regla práctica es igual: si no sabes a dónde lleva y te apuran para que lo abras, no lo abras y ve tú al canal oficial.

¿Mi banco me puede mandar un QR legítimo? Sí, por ejemplo para vincular la app o confirmar operaciones... dentro de procesos que TÚ iniciaste. Un QR del banco que te llega sin que hayas pedido nada sigue la regla general: no lo uses y entra tú en la app oficial.

¿Cómo protejo de esto a un adulto mayor? Con una frase: "no pagues nada escaneando un QR que encuentres pegado en la calle; usa la app que ya tienes". Y para los demás engaños, en el blog de NoCall repasamos las estafas telefónicas más comunes en Venezuela.

El resumen cabe en una línea: el QR es un enlace que no puedes leer, así que léelo antes de entrar. Escanea, mira la dirección y, si no es el dominio oficial, cierra y ve tú al canal oficial. Ese segundo de pausa desmonta el quishing completo.