La técnica tiene nombre, qrishing o quishing, contracción de QR y phishing, y las autoridades ya han lanzado advertencias
No caigas al “relay attack”: la Policía advierte del nuevo método de robo que te puede hacer perder miles de euros
La imagen del cuadrado de píxeles que es cada código QR ya se ha instalado en nuestro día a día con la misma naturalidad que cualquier otro artificio tecnológico, encabezando casi cada carta en las terrazas, presidiendo parquímetros, o decorando sobres y paquetes enviados por correo. Incluso, últimamente, también se ha visto en panfletos colocados bajo el limpiaparabrisas del coche, como si se tratara de una supuesta notificación de tráfico.
Lo tenemos tan normalizado que escaneamos casi como acto reflejo. Ese gesto banal, realizado con la cámara del móvil sin apenas prestar atención, se ha convertido en uno de los vectores favoritos del cibercrimen en España. La técnica tiene nombre, qrishing o quishing, contracción de QR y phishing, y las autoridades ya han lanzado advertencias al respecto.
Lo que pasa al escanear un QR manipulado
La mecánica es de una simpleza inquietante. Al enfocar la cámara sobre el código adulterado, el teléfono redirige al usuario a una página que suplanta la identidad legítima del QR, solicitando una serie de datos personales, bancarios o credenciales de acceso. También es posible que al escanear te redirecciones para descargar una aplicación maliciosa, vestida de normalidad.
Esta segunda vía puede descargar programas que explotan las vulnerabilidades del navegador o del sistema operativo para introducir en el dispositivo troyanos, spyware o programas que se suman a una botnet y ejecutan acciones en segundo plano, como dando acceso al micrófono o la cámara, o al envío de mensajes, sin que el usuario perciba nada.
También existe una tercera forma de tratar de aprovecharse de nosotros con los QR, el qrljacking, que aprovecha los códigos usados para iniciar sesión en servicios como WhatsApp Web y capturar las credenciales de la sesión suplantando el original.
Los tres lugares donde hay más peligro
La casuística documentada en España converge en tres emplazamientos. El primero, los parquímetros. La Policía Nacional ha advertido de que los estafadores colocan pegatinas con códigos QR falsos encima de los originales en las máquinas de aparcamiento, de modo que la víctima, creyendo abonar el ticket, introduce los datos de su tarjeta en una pasarela apócrifa.
El segundo escenario son los coches, dejando bajo el limpiaparabrisas una supuesta multa con un QR para "pagar con descuento". Las sanciones reales de tráfico jamás se notifican mediante papeles anónimos con código en el parabrisas.
El tercer frente en el que hay que redoblar la vigilancia sería con los menús de los restaurantes y bares. En estos casos, los ciberdelincuentes colocan un QR adhesivo que se superpone al del propio establecimiento en mesas apartadas o en terrazas de mucho movimiento, aprovechando el descuido del personal, y redirige a una carta clonada o a una pasarela de pago falsa.
Cómo detectar la manipulación
El principal indicio es táctil antes que visual. Como el propio soporte, ya sea una máquina metálica, un cartel plastificado o un mantel, tiene una superficie regular, la pegatina superpuesta introduce una diferencia de relieve perceptible al pasar la uña o el dedo por encima. De este modo, si notamos los bordes ligeramente levantados, una alineación imperfecta respecto al diseño del entorno, una calidad de papel distinta o dos capas visibles en un ángulo rasante, son las señales que descubren el engaño.
Una segunda pista la obtendríamos en nuestro propio teléfono, ya que la mayoría de cámaras nativas de Android e iOS pueden configurarse desde Ajustes para mostrar el enlace completo antes de abrirlo. Basta con fijarse a dónde nos lleva el enlace antes de pulsarlo y entrar. Si el dominio no coincide con el de la enseña legítima, si contiene errores ortográficos, si incluye extensiones inhabituales o si es un acortador de URL corto y sin sentido, la sospecha está justificada. Eso sí, siempre hay que deshabilitar la apertura automática de enlaces para poder verificar el destino manualmente.
Qué hacer si ya se ha caído en la trampa
Si sospechamos que hemos caído en la trampa, conviene actuar con la máxima presteza posible. Habría que seguir tres pasos consecutivos lo más rápidamente posible: contactar inmediatamente con la entidad bancaria para bloquear la tarjeta o revocar el pago, conservar capturas de pantalla de la página fraudulenta y del código escaneado como material probatorio, y denunciar los hechos ante Policía Nacional o Guardia Civil. Existe además una vía institucional gratuita y confidencial: el teléfono 017, la Línea de Ayuda en Ciberseguridad de INCIBE, ofrece asistencia especializada para este tipo de incidentes.
Hay que tener claro que el QR no es en sí mismo un enemigo. Es un canal, y como todo canal, admite tanto contenidos legítimos como manipulaciones. La consigna que atraviesa las advertencias de las tres autoridades es idéntica: no escanear ningún código sin verificar antes que el soporte no ha sido alterado, que la URL a la que dirige es la esperada y que el contexto resiste una segunda mirada. El gesto de comprobar añade tres segundos al procedimiento, pero caer en la trampa cuesta, en el mejor de los casos, la molestia de bloquear la tarjeta.