Todo sobre el QRishing, la estafa con el código QR

También conocida como la estafa del viajero, este nuevo fraude está presente en varios establecimientos y es muy importante saber cómo evitarlo.

Estar de viaje y escanear el código QR de un restaurante para ver la carta o conocer el precio de un artículo es algo tan habitual como pagar vía contactless, realizar un bizum o validar la entrada en un festival de música. De hecho, es común verlos en etiquetas de ropa, panfletos publicitarios o incluso para alquilar determinados objetos sin contacto humano, como es el caso de los alquileres de bicis de la popular app Uber.

Era previsible que su auge se produjera, entonces ¿qué podía salir mal? Que los delincuentes también se reinventan y en este caso han creado una nueva estafa digital: el QRishing, una forma de robar información a través del escaneo de un código QR.

El Banco de España ya alertó del aumento de este fraude digital, cuya sencilla modalidad ha aumentado su alcance en todo el mundo.

QRishing, la estafa con el código QR

Según los expertos de BBVA en ciberseguridad, el QRishing es el robo de datos a través de un código QR fraudulento. La palabra tiene su origen en la combinación de QR + Pishing. Este último termino es más antiguo y conocido, especialmente por ser una de las estafas digitales más reconocidas y practicadas en la actualidad: el envío de emails maliciosos.

En palabras sencillas, el QRishing consiste en pegar un código QR falso sobre uno verdadero con el fin de robar datos personales, contraseñas y datos bancarios. Por ello, es muy importante no facilitar estos datos cuando un código QR lo solicite.

¿Cómo se produce el QRishing?

Aunque parezca contradictorio, el QRishing es una estafa telefónica tan sencilla de elaborar que te va a sorprender cómo se produce. Es mucho más simple que el smishing o el vishing (y tiene mayor alcance también).

Los ciberdelincuentes solo tienen que crear y diseñar una página web que simule a una web auténtica, por ejemplo, una entidad bancaria, una entidad del gobierno o un portal de compra y venta. A continuación, crean códigos QR para que el consumidor los escanee y acceda así a la página web fraudulenta.

Un caso de QRishing muy conocido sucedió en enero de 2022, cuando los delincuentes colocaron falsos códigos QR en parquímetros de Texas y otras ciudades estadounidenses. Los maleantes pegaron códigos QR sobre las indicaciones de los parquímetros para que los usuarios accedieran a una web falsa donde robaron sus datos bancarios y personales.

Otro caso más reciente es el de BiciMAD, empresa de alquiler de bicis en Madrid, el cual se vio afectado por el pegado de códigos QR en las bicis de alquiler. Según informan desde Xakata, al escanear el código falso, se nos redirigía a pasarela de pagos fraudulenta.

Cuidado con los códigos QR de las tiendas de ropa, muchos pueden ser fraudulentos.

Cómo evitar el QRishing

Desde INCIBE (Instituto Nacional de Ciberseguridad de España) han resaltado una serie de recomendaciones para evitar el QRishing:

Comprueba si se trata de una pegatina , en especial cuando sea el código QR de una etiqueta de ropa , de un restaurante o de alquileres de bici (o patinete) sin contacto.
Al escanear el código QR, revisa la extensión del enlace. En general, los que empiezan por https:// son seguros y fiables.
No descargues ningún archivo o aplicación tras escanear un Código QR.
Tampoco cedas datos de carácter personal o tu entidad financiera . Ni mucho menos inicies sesión en entidades a través de un código QR.
Ante las dudas, ¡pregunta! Al propietario de la entidad, a tu banco o al establecimiento en el que estás pagando.