La empresa experta en ciberseguridad, Kaspersky, alerta sobre el crecimiento del ‘quishing’, una modalidad de fraude que utiliza códigos QR falsos distribuidos por correo, redes sociales o pegatinas en la vía pública para robar datos personales, credenciales bancarias y dinero. Bajo la fachada de descuentos, ofertas de empleo, venta de entradas o avisos bancarios, los estafadores llevan a las víctimas a páginas clonadas que imitan a marcas y bancos reales.
Ciudad de México.- Los códigos QR ya son parte de la vida cotidiana: se usan para ver el menú de un restaurante, pagar, aprovechar una promoción o rastrear un paquete. Esa misma masividad los convirtió en un vehículo para el fraude. El fenómeno se conoce como ‘quishing’ y consiste en manipular estos códigos para llevar a las víctimas a webs falsas, robarles datos o instalar malware.
De acuerdo con la empresa en ciberseguridad, Kaspersky, el éxito de esta estafa radica en dos factores: lo normal que parece un QR y la velocidad con la que lo escaneamos desde el celular, casi sin verificar.
El código fraudulento puede llegar por cualquier vía: un correo, un SMS, un mensaje en redes sociales, un cartel en la calle o incluso una pegatina superpuesta en un lugar público. El fin siempre es el mismo: quedarse con información personal, credenciales bancarias o dinero directamente.
Estas son las modalidades más comunes:
- Descuentos falsos.- Es la táctica más extendida. Los delincuentes difunden un QR que promete una rebaja muy atractiva de una marca conocida, presentada como una liquidación, promoción por tiempo limitado o campaña exclusiva.
El mensaje está diseñado para generar urgencia y que el usuario no verifique el origen. Al escanear, llega a una página que clona la imagen de una tienda real y le pide datos personales, número de tarjeta y CVV para acceder al beneficio. La promoción nunca existe y la víctima pierde tanto el monto del supuesto pago como el control de sus datos bancarios. - Ofertas de empleo engañosas. En esta modalidad los delincuentes apelan a la necesidad de trabajo. Circulan en redes, apps de empleo y correos con promesas de sueldos altos, tareas sencillas y contratación inmediata, e incluyen un QR para «postularse». El código redirige a un sitio de ‘phishing’ que solicita datos de identidad, cuentas bancarias y contraseñas bajo el pretexto de avanzar en el proceso de selección. Kaspersky recuerda que ningún empleo legítimo exige pagos o datos financieros para iniciar una candidatura.
- Entradas truchas para espectáculos. Se utilizan para vender tickets falsos para recitales, partidos o festivales. A veces el evento ni siquiera existe; otras veces es real, pero los estafadores no tienen autorización ni las entradas.
La persona escanea el QR para reservar y termina en una web fraudulenta que le pide datos de tarjeta, contacto e incluso DNI. Tras pagar, nunca recibe una entrada válida. Los delincuentes se quedan con el dinero y con información útil para futuros fraudes. - Suplantación de bancos y estafas con cripto. En el caso bancario, el QR suele venir dentro de un mensaje alarmista que avisa de un bloqueo de cuenta, un movimiento sospechoso o la necesidad de actualizar datos. El correo imita logos y colores del banco para parecer auténtico. Al escanear, la víctima entra a una web clonada que le pide usuario, contraseña y códigos de verificación.
Con criptomonedas el mecanismo es similar: el QR simula iniciar una transferencia legítima, pero en realidad contiene la dirección de una billetera del estafador. Una vez enviado el dinero, es prácticamente imposible recuperarlo. - Riesgos en delivery y en restaurantes. Otras dos variantes son los falsos avisos de seguimiento de paquetes y los menús adulterados. En el primer caso, el mensaje invita a escanear para ver el estado del envío. En el segundo, los delincuentes pegan su propio QR encima del código original del restaurante.
Ambos pueden derivar en páginas que roban datos personales o intentan instalar software malicioso en el teléfono.
Cómo protegerse:
- Revisa la URL antes de hacer clic. Después de escanear, tu celular muestra la dirección web. Detente ahí. Verifica que el dominio sea el oficial de la marca o el banco. Desconfía de links acortados, con faltas de ortografía, guiones extra o terminaciones raras como banco-seguro-login.com.
- No escanees QR de origen dudoso. Si te llega por correo, SMS, WhatsApp o redes sociales de un remitente desconocido, no lo escanees. Los bancos, empresas de delivery y tiendas nunca te mandan un QR para «desbloquear tu cuenta» o «corregir un pago».
- Ojo con los QR físicos en la calle. En restaurantes, parquímetros o carteles, verifica que el QR no sea una pegatina superpuesta. Tócalo con la mano. Si está pegado sobre otro código, si se ve desprolijo o despegado en los bordes, no lo uses y avisa al personal del local.
- No des datos sensibles para una promoción. Ninguna oferta real te va a pedir CVV, PIN, token bancario, contraseña completa o fotos de tu INE para darte un descuento. Si la página te pide eso, es phishing.
- Desactiva la apertura automática. Configura la cámara o tu lector de QR para que NO abra el link de forma automática. Que solo te muestre la URL y tú decidas si entras. Así evitas llegar a una web maliciosa por impulso.
- Usa el lector oficial, no cualquiera. Evita apps de lectura de QR de terceros que piden muchos permisos. Usa la cámara nativa de tu iPhone / Android o el lector integrado en tu app de banco.
- Para pagos, verifica el destinatario. Antes de confirmar una transferencia por QR, especialmente con criptomonedas, verifica que el nombre del destinatario y el monto sean correctos. En cripto, una vez enviada, la operación no se puede revertir.
- Aplica el sentido común a ofertas de trabajo. Un empleo legítimo nunca te pedirá que pagues para postularte, ni que des datos de tu cuenta bancaria, ni que escanees un QR para una «entrevista inmediata». Sí promete un sueldo muy alto por tareas muy simples, es una trampa.
- Mantén el celular y antivirus actualizados. Ten el sistema operativo y el navegador al día. Kaspersky y otros antivirus móviles ya detectan y bloquean muchas páginas de quishing al intentar abrirlas. Activa la protección de navegación.
- Activa la doble autenticación (2FA). Si caíste y diste tu contraseña, el segundo factor (código por app autenticadora, no por SMS) puede evitar que entren a tu cuenta. Nunca compartas ese código.
- Si compras entradas, ve a canales oficiales. No compres tickets que viste en un QR en redes sociales. Entra directamente a la web oficial del evento, Ticketmaster, o la boletera autorizada escribiendo tú la dirección.
¿Qué hacer si ya escaneaste un QR sospechoso?
- Cierra la página de inmediato y no ingreses ningún dato más.
- Si ingresaste datos de tarjeta, bloquéala desde tu app bancaria y contacta a tu banco.
- Cambia las contraseñas que hayas puesto en esa web.
- Haz un escaneo con antivirus en tu celular por si se descargó malware.
- Reporta el caso en la app del banco y en la policía cibernética.
(El Heraldo de Saltillo)
https://latam.kaspersky.com/resource-center/definitions/what-is-quishing
