21 de agosto, Día Mundial del Código QR
Y es un buen momento para hablar de algo relacionado con los códigos QR: el qrishing. Y no, no es una nueva forma de ligoteo ni una app de citas. Aunque lo del cebo no va tan desencaminado. En realidad es una estafa que aprovecha la costumbre que hemos cogido de escanear sin pensar.
Aquí te lo cuento.
De la fábrica de Toyota al menú del restaurante y a todas partes
El código QR nació en una fábrica de Toyota. A comienzos de los noventa, sus líneas de producción manejaban miles de piezas distintas y el código de barras se había quedado corto: guardaba muy poca información, y en algunos puestos los operarios llegaban a leer cerca de mil códigos al día.
El encargado de resolverlo fue Masahiro Hara, un ingeniero de la empresa Denso Wave que era proveedor de componentes del grupo Toyota. Le pidieron mejorar los lectores, pero enseguida vio que el problema no estaba en la máquina, sino en el propio código de barras. Hacía falta un sistema que guardara mucha más información, se leyera desde cualquier ángulo y siguiera funcionando aunque estuviera cubierto de grasa, aceite o polvo, algo habitual en una cadena de montaje.
Así nació, en 1994, el Quick Response Code. Los tres cuadrados de sus esquinas están ahí precisamente para que el lector reconozca su orientación al instante. Y sobre la tolerancia a fallos habló Jorge Calvo Martin hace poco en este interesante post (como todos los que publica)
Durante sus primeros años, el QR fue sobre todo una herramienta industrial. Pero poco a poco empezó a salir de las fábricas. Primero apareció en publicidad, billetes, envases y sistemas de identificación. Después, con la llegada de los smartphones y las cámaras capaces de leerlos directamente, escanear un QR empezó a convertirse en un gesto cada vez más habitual.
Y entonces llegó la pandemia, que terminó de convertir el QR en algo cotidiano.
De pronto, evitar el contacto físico importaba y el QR ofrecía una solución sencilla. Apareció en la carta del bar, en el certificado de vacunación, en entradas, pagos, formularios y todo tipo de accesos. En muy poco tiempo aprendimos a apuntar la cámara y tocar el enlace casi sin pensarlo.
Y esa fluidez es exactamente el hueco que buscan los estafadores.
Qué es el qrishing
El qrishing es phishing con un código QR como cebo. La mecánica es la de siempre: alguien te lleva a una web que imita a una legítima y te pide datos. Lo que cambia es el envoltorio.
Un enlace escrito lo puedes leer antes de tocarlo. Un QR no.
Es un cuadrado de píxeles negros que no dice nada a simple vista, y esa opacidad es su mayor virtud como herramienta de engaño.
Tampoco ayuda que los filtros antispam del correo lean texto y enlaces con soltura, pero no siempre lo que hay dentro de una imagen.
Y otro factor más: el salto al móvil. El QR te saca del ordenador corporativo, con sus protecciones, para que lo uses en el teléfono personal, donde la barra de direcciones es estrecha, el dominio aparece recortado y las prisas son altas.
Cómo funciona la estafa
La escena es la de cualquier terraza.
1. Escaneas la carta
Te sientas, apuntas la cámara al QR de la mesa y se abre el menú. Es un gesto que hemos repetido cien veces y que nunca ha dado problemas.
2. Alguien ha pegado otra etiqueta encima
Basta una pegatina impresa en casa y dos segundos de descuido. La pegatina nueva encaja sobre el original, tiene el mismo tamaño y nadie en el local se da cuenta. Cuesta céntimos y aguanta semanas.
3. La página del QR te pide la tarjeta de crédito
Ahora el QR lleva a una web que imita a la del restaurante: mismos colores, mismo logotipo. Una promoción, un descuento, una reserva. Introduces los datos y la página responde con normalidad. Todo ha ido bien, aparentemente.
4. Evítalo comprobando la dirección
El navegador del móvil muestra la dirección antes de abrirla. Ahí está la pista. Puedes leer el dominio que va justo antes de la primera barra.
Si el restaurante es lataberna.es, la dirección legítima empieza por lataberna.es. Una como menu-promo-vacaciones.top no tiene nada que ver, por mucho que el resto del enlace mencione el nombre del local.
Seis comprobaciones antes de escanear
Ninguna requiere conocimientos técnicos, es cuestión de dedicarle tres segundos:
1. Comprueba que no esté manipulado
Fíjate en que el QR no esté pegado encima de otro ni parezca alterado. Una pegatina superpuesta se nota al tacto.
2. Verifica la URL
Antes de tocar el enlace, lee el dominio que va justo antes de la primera barra. ¿Dudas? Búscalo tú antes en el navegador.
3. No des tus datos
Evita introducir información personal o bancaria en páginas abiertas desde un QR. Entra por la web o la app oficial.
4. Mantén tu móvil al día
Un dispositivo actualizado bloquea buena parte de lo que intenta colarse después del escaneo.
5. Desconfía de ofertas por mensaje
Sospecha de los QR que llegan por email o WhatsApp prometiendo descuentos, premios o multas urgentes.
6. Nada de QR desconocidos
No escanees códigos de origen dudoso que encuentres en lugares públicos: postes, farolas, folletos sueltos.
Si crees que ya has picado
Lo primero es no perder tiempo en darle vueltas.
La ventana útil para limitar el daño es de minutos.
- Llama a tu banco y bloquea la tarjeta. La mayoría permite hacerlo desde la propia app, sin esperar a que te atiendan.
- Cambia la contraseña del servicio afectado, y también la de cualquier otro sitio donde uses esa misma contraseña.
- Activa la verificación en dos pasos donde aún no la tengas.
- Revisa los movimientos de los últimos días, no solo el del pago que hiciste.
- Denuncia ante la Policía Nacional o la Guardia Civil. Te resultará más fácil para reclamar al banco.
- Si el QR estaba en un sitio físico, avisa a quien gestione ese espacio. Probablemente no lo sepa.
Y si la estafa llegó por el correo del trabajo, díselo a tu equipo de seguridad aunque te dé apuro. Recibir un aviso a tiempo les permite frenar el mismo intento en el resto de la organización.
¡Espero que te sirva!
Deja una respuesta