El fraude oculto detrás de un código QR que puede vaciar tu cuenta bancaria

Escanear un código QR se ha convertido en un gesto cotidiano para pagar un estacionamiento, consultar un menú o acceder a un servicio público. Sin embargo, esa confianza está siendo aprovechada por ciberdelincuentes que sustituyen los códigos originales por versiones falsas capaces de dirigir a las víctimas hacia sitios fraudulentos donde entregan, sin saberlo, sus datos bancarios. Este tipo de ataque, conocido como «quishing», se ha convertido en una de las modalidades de fraude digital con mayor crecimiento.

Durante la pandemia, los códigos QR pasaron de ser una herramienta poco utilizada a formar parte de la vida diaria. Restaurantes, hoteles, hospitales, parquímetros, estaciones de transporte y comercios comenzaron a emplearlos para facilitar pagos, consultas y trámites sin contacto físico. Su rapidez y comodidad hicieron que millones de personas dejaran de cuestionar qué ocurre realmente después de escanear uno.

Precisamente esa confianza constituye el principal objetivo del quishing. El término combina las palabras QR y phishing, y describe una modalidad de ingeniería social en la que los delincuentes utilizan códigos QR manipulados para conducir a las víctimas hacia páginas diseñadas para robar información confidencial.

El mecanismo suele ser sencillo. Los estafadores imprimen una pegatina con un código QR falso y la colocan sobre el código auténtico de un parquímetro, una mesa de restaurante, una terminal de pago o cualquier otro sitio donde las personas esperan encontrar un acceso legítimo. A simple vista resulta prácticamente imposible distinguir la diferencia.

Cuando el usuario escanea el código, el teléfono abre un sitio web que imita con gran fidelidad la apariencia de una plataforma oficial. En ese momento puede solicitar credenciales bancarias, datos de tarjetas de crédito, contraseñas, códigos de verificación o información personal. En otros casos, el enlace induce a descargar aplicaciones maliciosas capaces de comprometer el dispositivo.

La verdad es que el código QR no constituye el problema. Se trata únicamente de una forma de almacenar información, generalmente una dirección electrónica. El riesgo aparece cuando el usuario confía automáticamente en el destino al que apunta ese código sin verificar su autenticidad.

Especialistas en ciberseguridad advierten que este tipo de fraude resulta especialmente eficaz porque elimina uno de los elementos que tradicionalmente despertaban sospechas en el phishing: los enlaces escritos. Mientras muchas personas desconfían de un vínculo recibido por correo electrónico o mensaje de texto, pocas cuestionan un código QR colocado físicamente en un establecimiento que aparenta ser legítimo.

Los ataques también han evolucionado. Algunos sitios fraudulentos incorporan certificados de seguridad, utilizan dominios con nombres muy similares a los originales y reproducen con precisión logotipos, colores y diseños institucionales. Esa apariencia profesional dificulta aún más identificar el engaño.

La protección comienza antes de escanear. Si un código QR aparece sobre una pegatina mal adherida, presenta señales de haber sido colocado encima de otro o se encuentra deteriorado de forma inusual, conviene desconfiar y buscar un medio alternativo para realizar el trámite. En establecimientos comerciales también es recomendable confirmar con el personal que el código corresponde al servicio oficial.

Muchos teléfonos inteligentes permiten visualizar previamente la dirección electrónica antes de abrirla. Revisar cuidadosamente el nombre del sitio puede ayudar a detectar dominios extraños, errores ortográficos o direcciones que no guardan relación con la empresa que supuestamente ofrece el servicio.

Otra medida importante consiste en evitar introducir datos bancarios si la página genera dudas o si la dirección electrónica no coincide exactamente con el sitio oficial. Cuando se trate de pagos, siempre es preferible utilizar aplicaciones oficiales previamente instaladas o ingresar manualmente al portal de la institución financiera en lugar de hacerlo mediante enlaces desconocidos.

Mantener actualizado el sistema operativo, utilizar soluciones de seguridad confiables y activar la autenticación en dos factores para las cuentas bancarias también reduce considerablemente el riesgo. Incluso si un delincuente obtiene una contraseña, ese segundo mecanismo de verificación puede impedir el acceso no autorizado.

En caso de haber proporcionado información financiera en un sitio sospechoso, la reacción debe ser inmediata. Es recomendable comunicarse con el banco para bloquear temporalmente las tarjetas o cuentas comprometidas, modificar las contraseñas, revisar los movimientos recientes y reportar el incidente a la institución correspondiente. Cuanto más rápida sea la respuesta, mayores serán las posibilidades de evitar pérdidas económicas.

El crecimiento del quishing demuestra que la delincuencia digital evoluciona al mismo ritmo que las nuevas tecnologías. Un simple código impreso puede convertirse en la puerta de entrada a un fraude sofisticado si se baja la guardia. La mejor defensa sigue siendo la misma que frente a cualquier intento de ingeniería social: verificar antes de confiar y recordar que, en el mundo digital, unos segundos de precaución pueden evitar consecuencias que duren mucho más tiempo.