Por qué escanear un código QR puede dejarte vulnerable y cómo protegerte

Los códigos QR se han convertido en una comodidad de la vida moderna. Simplemente escanea el mosaico blanco y negro con la cámara de tu teléfono y podrás hacer de todo, desde conectarte al wifi de tu habitación de hotel hasta pagar estacionamiento público o acceder al menú de un restaurante.

Pero los códigos QR también pueden dejarte vulnerable. Esto se debe a que estafadores, bandas criminales organizadas y estados-nación sospechosos utilizan esta tecnología discreta para que entregues tus datos sin que lo sepas. Así es como lo hacen y cómo puedes protegerte.

A la gente le encanta la comodidad de los códigos QR, pero también a los estafadores

Es difícil creer que un código QR contenga algo malicioso, pero puede. Para entender por qué, es útil saber cómo funciona uno. Abreviatura de “código de respuesta rápida”, un código QR es esencialmente una versión más avanzada de los códigos de barras UPC que se han encontrado en productos envasados ​​durante décadas.

Un código UPC tradicional (abreviatura de “código universal de producto”) es una imagen unidimensional compuesta por barras verticales de diferentes anchos que representan distintos números. Al escanear el código de barras, se leen los números y se comparan con una base de datos para identificar el producto relacionado.

Los códigos QR son imágenes bidimensionales con glifos de varios tamaños que almacenan no solo números, sino también texto. Al escanearlos, el teléfono extrae la información codificada y puede actuar en consecuencia. Por ejemplo, los códigos QR suelen incorporar URL, lo que permite escanear, por ejemplo, un parquímetro para abrir una página web donde se puede pagar en línea.

Sin duda, esto es mucho más cómodo que escribir manualmente una URL en el navegador del teléfono para cargar la página de pago. Pero nuestro deseo —y nuestra aceptación incondicional de esta comodidad— ahora están siendo explotados por estafadores mediante lo que se conoce como “quishing”.

La creciente amenaza del quishing

Cada vez más, desde estafadores hasta estados-nación intentan explotar nuestra disposición a usar códigos QR. Lo hacen insertando enlaces maliciosos y enviándolos por correo electrónico, a menudo haciéndose pasar por su banco o un servicio en línea que utiliza. Por otro lado, se sabe que algunos actores maliciosos imprimen códigos QR con enlaces maliciosos y los colocan sobre códigos QR auténticos en parquímetros, mesas de restaurantes y habitaciones de hotel.

Individuos desprevenidos escanean estos códigos QR, sin darse cuenta de que la URL incrustada conduce a un sitio web fraudulento diseñado para imitar el real. Estos sitios falsos están diseñados para robar las credenciales de inicio de sesión del usuario, los datos de su tarjeta de crédito u otros datos confidenciales.

Si esto se parece mucho al phishing tradicional con el que nos hemos enfrentado desde los albores de internet, es porque lo es: simplemente actualizado para un mundo de códigos QR, de ahí el término “quishing”.

Cómo protegerse de los códigos QR falsos

El quishing se está convirtiendo en un problema creciente, pero existen maneras de protegerse.

La primera es adoptar un escepticismo sano sobre los códigos QR. El hecho de que un código QR esté en la mesita de noche de un hotel, debajo del parquímetro o en un correo electrónico que parezca provenir de tu banco no significa que sea inofensivo. Comprenderlo es el primer paso para protegerte.

El siguiente paso es examinar cuidadosamente los códigos QR antes de escanearlos. Los estafadores suelen colocar códigos QR falsos sobre los reales en el mundo físico. Por lo tanto, antes de escanear un código QR en una mesa de restaurante, tómate un momento para inspeccionarlo en busca de indicios de que podría ser una calcomanía que cubre el código auténtico. Busca bordes ásperos, rasgaduras o cuadrados negros de un código QR más profundo que se vean a través del espacio en blanco, ya que esto puede indicar que no es el que deberías escanear.

Asimismo, ten mucho cuidado con los códigos QR que recibes en correos electrónicos, especialmente de remitentes que se hacen pasar por tu institución financiera o los servicios en línea que utilizas, y en particular si estos correos contienen mensajes que usan lenguaje como “escanea el código ahora para proteger tu cuenta”. Los estafadores se valen de la urgencia para obligar a los usuarios a introducir sus datos de acceso apresuradamente en sitios web falsos. Estos datos los usarán para acceder a sus cuentas en el sitio web real.

Por último, nunca introduzca información en una página web cargada desde un código QR escaneado sin antes comprobar manualmente la URL en su navegador. La página web puede parecerse a la pantalla de inicio de sesión de su banco, pero un sitio web fraudulento tendrá una URL que no coincide con la dirección del sitio web auténtico. Si tiene dudas sobre la autenticidad de una URL, lo mejor es abrir otra ventana del navegador, buscar el sitio web en Google y hacer clic en el enlace que ofrece.