- El QRishing es una estafa que usa códigos QR para robar datos
- Se ha detectado en parquímetros y multas de tráfico falsas
- Verificar la URL antes de escanear es esencial para evitar fraudes
- Las autoridades recomiendan configurar la cámara para ver enlaces completos
Los códigos QR se han convertido en una herramienta habitual en nuestro día a día. Los encontramos en cartas de restaurantes, parquímetros, paquetes e incluso en las multas de tráfico. Sin embargo, detrás de esos cuadraditos blancos y negros también se esconden estafas cada vez más sofisticadas. El llamado QRishing combina la ingeniería social con el escaneo de estos códigos para robar datos personales y bancarios.
La Policía Nacional y el INCIBE han lanzado alertas en España sobre esta amenaza. En otros países, como Estados Unidos, la FTC también ha advertido de la presencia de códigos falsos en parquímetros. La facilidad para generar y difundir un código QR hace que cualquier usuario pueda convertirse en víctima sin apenas darse cuenta.
El QRishing: así funciona la estafa
El QRishing es una técnica que se vale de la confianza del usuario. El ciberdelincuente coloca un código QR en un lugar visible: un folleto, un cartel, un correo electrónico o incluso un papel pegado sobre otro código legítimo. Al escanearlo, la víctima es redirigida a una página web que imita a la de una empresa o institución conocida, y que solicita credenciales o datos de acceso. Si el usuario no verifica la dirección web, puede ser engañado fácilmente.
Por ejemplo, se han detectado casos en los que se colocan códigos falsos en parquímetros para suplantar el pago. Otro ejemplo son las falsas multas de tráfico: el papel incluye un QR para pagar la sanción, pero en realidad se trata de una estafa de quishing en España. En estos casos, las faltas de ortografía y la falta de coherencia con el documento son señales de alarma. Las multas reales de la DGT nunca incluyen códigos QR para pagar en el acto.
Cómo evitar caer en la trampa
Antes de escanear cualquier código QR, es fundamental verificar la dirección URL que se nos muestra. Tanto el INCIBE como la FTC recomiendan revisar el enlace completo antes de abrirlo. Para ello, se puede configurar la cámara del teléfono para que muestre la URL en lugar de abrirla directamente. En iOS, a través de Ajustes > Cámara y activando «Escanear códigos QR». En Android, con Google Lens, se puede desactivar la apertura automática de URLs.
Además, hay que desconfiar de cualquier código que aparezca sobre otro, que tenga signos de manipulación o que solicite información sensible. Si un código QR nos lleva a una web con errores ortográficos o a un dominio que no coincide con la empresa, debemos cancelar la operación. Las autoridades insisten en que extremar la precaución es clave para proteger nuestras cuentas bancarias.
Los códigos QR son una herramienta útil para pagos, accesos o información, pero también una puerta de entrada para los ciberdelincuentes. La combinación de ingeniería social y el escaneo indiscriminado puede dar lugar a robos de identidad y pérdidas económicas. La prevención pasa por mantener la cámara configurada correctamente, verificar cada enlace y desconfiar de cualquier código que nos pida datos personales. Solo así podremos disfrutar de las ventajas de estos códigos sin caer en sus trampas.
Editor profesional de Tecnología y Software