QRishing: cuando el código QR esconde una estafa

En realidad, el QRishing es un tipo de phishing, una técnica de engaño que utilizan los piratas informáticos para robar los datos personales y bancarios a través de la página web falsa de alguna institución oficial como la Agencia Tributaria, la entidad bancaria de los usuarios o cualquier empresa o tienda que los consumidores consideran de confianza.

El usuario recibe un email, de una empresa o entidad más o menos conocida (DGT, Correos, un banco reconocido) con una excusa cualquiera (tiene que pagar una multa, su paquete está pendiente de un pago en aduanas o tiene que revisar un cargo de un alto importe en la cuenta) y le urgen a resolverlo a través de un enlace que redirige a una página web falsa que simula ser la oficial.

Una vez allí, le piden que introduzca sus datos, bien sea el usuario y contraseña de su banco o bien el número de su tarjeta de crédito, y es entonces cuando consiguen la información que necesitan para cometer el robo.

Este engaño está cada vez más elaborado y existen muchas variantes como el smishing (que se refiere a cuando el mensaje se recibe a través de SMS), vishing (cuando alguien por teléfono suplanta la identidad de alguna empresa y le engañan de igual manera para dar alguno de sus datos) o incluso el QRishing (cuando se trata de un código QR falso que igualmente lleva a una página que simula ser algo que no es).

En Estados Unidos, por ejemplo, se denunció el uso de códigos QR falsos adheridos en parquímetros para realizar el pago. Y en Madrid se alertaba de la aparición en los parabrisas de algunos vehículos de falsas sanciones de tráfico que incluían un QR. En los casos de QRishing añade la Organización de Consumidores y Usuarios (OCU), piden las credenciales de seguridad bancarias, que luego usarán en operaciones fraudulentas.

¿Pero cómo evitar caer en la trampa del QRishing? La mayoría de los fraudes online se producen mediante el acceso a las credenciales de seguridad de los usuarios mediante métodos cada vez más sofisticados, que van adaptándose para intentar saltarse las medidas de seguridad que se van implementando. Para prevenir caer en este tipo de trampas y evitar el robo de datos se recomiendan los siguientes pasos: