Quishing o qrishing, los dos nombres que recibe un nuevo intento de estafa que se está popularizando en España. El origen de estos timos es el phishing, que es el robo de contraseñas a través del acceso a páginas web fraudulentas, pero en lugar de utilizar direcciones que aparecen en redes sociales o el correo electrónico, con el quishing el camino escogido es la tecnología QR.

Los delincuentes cibernéticos aprovechan el ascenso de este lenguaje virtual para estafar a las víctimas y robar datos personales o bancarios. La fórmula es sencilla, incluir un código QR que no es el legítimo para que el usuario lo escanee y acceda a una página web en la que acceden a esa información confidencial.

Estas prácticas están cada vez más extendidas. Y es que, según apunta la compañía española especializada en la creación de códigos QR, QRFY, más del 70% de las estafas contemporáneas se ejecutan mediante esta técnica.

El quishing se suma así al phishing, del que deriva, y al smishing, que es el intento similar pero en lugar de utilizar los códigos QR mediante el escaneo, son mensajes de texto que incluyen la dirección hacia una página web fraudulenta.

¿Cómo funcionan las estafas mediante códigos QR?

Hay varias fórmulas para realizar quishing. Una de las más populares es la que ocurre en restaurantes, gasolineras y tiendas. En muchos de estos establecimientos para acceder a la carta o al catálogo existe un código QR que es el que da acceso a una dirección web concreta.

Los estafadores lo que hacen es colocar una pegatina falsa con un código fraudulento que tiene como dirección una web que no es la del establecimiento. Una vez ahí puedes ser víctima del robo de datos personales.

En otras ocasiones la práctica es parecida pero no tienen como destino restaurantes o tiendas, sino que es un intento con un carácter más comercial. Muchas empresas se publicitan a través de carteles o vallas y ofrecen sus ofertas y promociones. En los colegios, por ejemplo, hay centros y academias que ofrecen actividades extraescolares, deportivas y otras alternativas. Y pueden hacerlo mediante códigos QR.

Los estafadores aprovechan esta oportunidad para colocar su código fraudulento encima y que los usuarios crean que están siendo redirigidos a la dirección correcta. En general, y en especial desde el Covid 19, esta tecnología está muy implantada y es habitual verla en panfletos publicitarios, apps de compraventa de objetos, billetes de medios de transporte, entradas a espectáculos deportivos o musicales, alquiler de servicios…

Incluso ya hay empresas que proponen los códigos QR como fórmula de pago. En esos casos, al escanear el código se accede a una plataforma que es la que actúa como pasarela de pago. Como ves, la tecnología puede ser muy útil, pero hay que saber utilizarla y ser consciente de que conlleva asumir algunos riesgos.

¿Cómo evitar problemas al utilizar estos códigos?

Según explica QRFY, en el último año su herramienta antifraude que protege a los usuarios bloqueando el acceso al código QR ha paralizado durante el último año más de 5.000 amenazas relacionadas con este tema.

Este es uno de los consejos que aporta esta empresa para protegerse ante los intentos de estafa. La propia QRFY está constantemente introduciendo innovaciones en sus códigos QR dinámicos para que no puedan ser vulnerados por ningún delincuente.

La empresa recomienda estar al día ante estas situaciones y educarse continuamente. No hay que temer a los avances tecnológicos, solo debemos hacer uso de ella con cautela y actuar con cierta lógica.

Si por ejemplo recibimos ofertas que son muy tentadoras y casi irrechazables, posiblemente no sean reales. Nadie da duros a cuatro pesetas, de modo que si te intentan convencer con una promoción que parece muy ventajosa y a la que tienes que acceder con un código QR, puede que no sea verdadera o legítima.

Un tercer consejo esencial es verificar la fuente, confirmar que es real. Como sabes, la tecnología QR se basa en códigos compuestos por cuadros blancos y negros que dirigen hacia un enlace web. Esa web en concreto siempre debe ser de confianza y para ello debe contar con un candado junto a la URL y que su dirección comience por “https://”. De no ser así, lo mejor es que no introduzcas ningún dato personal.

A estas tres recomendaciones puedes sumar la de utilizar únicamente aplicaciones de escaneo de confianza y mantener en todo momento tu dispositivo móvil protegido y seguro. Si el teléfono o la tablet que utilizas para escanear los códigos incluye ya el escaner de manera original, preinstalada, puedes estar tranquilo. Pero si tienes que acudir a una tienda de aplicaciones, confía únicamente en apps con buena reputación y valoraciones positivas. La sugerencia final es instalar en el dispositivo herramientas antifraude y programas de protección frente a malware y agentes maliciosos.