¿Qué es el quishing? Phishing con códigos QR
El quishing es phishing a través de códigos QR. El término combina "QR" y "phishing". En lugar de un enlace de texto, se escanea un código QR y se accede directamente a un sitio web fraudulento que roba sus datos. El truco consiste en que el destino del código QR no es visible a simple vista.
¿Por qué los códigos QR son atractivos para los estafadores?
Con una URL de texto puede al menos leer la dirección antes de hacer clic. Con un código QR no puede ver adónde lleva sin un escáner. Esto convierte los códigos QR en un instrumento de camuflaje ideal. Además, la mayoría de las personas escanean códigos QR de forma automática en su vida cotidiana sin cuestionarlos.
¿Cómo funciona un ataque de quishing?
- El estafador crea un código QR que enlaza a un sitio web fraudulento.
- El código QR se distribuye por correo electrónico, folleto, cartel, pegatina o SMS.
- Usted escanea el código: su teléfono abre automáticamente el sitio falso.
- La página imita a una empresa u organismo legítimo y le solicita datos personales o de pago.
¿Dónde puede encontrar quishing en España?
- Correos electrónicos: En lugar de un enlace de texto, el correo de phishing muestra un código QR para eludir los filtros de seguridad del correo.
- Multas de la DGT: Pegatinas con un código QR falso pegadas sobre el código QR real de una notificación de tráfico.
- Parquímetros y zonas de estacionamiento: Pegatinas fraudulentas colocadas sobre el código QR de pago original.
- Restaurantes y cafeterías: Cartas de menú falsas con códigos QR que llevan a páginas de captura de datos.
- Carteles en espacios públicos: Códigos QR para supuestos servicios del SEPE, Hacienda o ayuntamientos.
Cómo identificar códigos QR fraudulentos
- Compruebe el código QR con una aplicación que muestre la URL antes de abrirla (muchas cámaras de móvil muestran una vista previa).
- Verifique si hay pegatinas sobre el código QR original: toque con el dedo para comprobar si está pegado.
- Confirme que el enlace tras el escaneo pertenece al dominio esperado.
- Desconfíe de los códigos QR en correos electrónicos de remitentes desconocidos.
- Copie el enlace escaneado y compruébelo con 2check.click antes de abrirlo.
¿Qué hacer tras escanear un código QR sospechoso?
- Aún no ha abierto la página: copie la URL y analícela con 2check.click.
- Ha abierto la página pero no ha introducido datos: ciérrela de inmediato.
- Ha introducido datos: actúe como si hubiera hecho clic en un enlace de phishing: cambie contraseñas e informe a su banco.
Compruebe un enlace de código QR
Escanee el código QR con su cámara, copie el enlace y péguelo en 2check.click antes de abrirlo.
Preguntas frecuentes
¿Puedo reconocer un código QR fraudulento por su aspecto?
No de forma fiable. Los códigos QR falsos tienen el mismo aspecto que los legítimos. Compruebe siempre el destino después de escanear, antes de abrir la URL.
¿Por qué los estafadores usan códigos QR en los correos electrónicos?
Los códigos QR suelen eludir los filtros de seguridad del correo que analizan los enlaces de texto. Un archivo de imagen con un código QR no es detectado como phishing por muchos filtros.
¿Es seguro el código QR de un restaurante o cafetería?
Normalmente sí. Pero se han detectado casos de pegatinas fraudulentas en España. Compruebe si el código está directamente impreso en la mesa o en una superficie oficial, o si parece una pegatina superpuesta.
¿En qué se diferencia el quishing del smishing?
El smishing llega por texto en un SMS. El quishing utiliza códigos QR como vector de ataque: el fraude está oculto en el código QR, no en el texto del mensaje.
¿Puede la cámara de mi móvil detectar un QR malicioso?
La cámara solo lee el código y muestra la URL resultante; no evalúa si el destino es peligroso. Compruebe siempre la URL mostrada antes de tocar "Abrir", o péguela en 2check.click para un análisis completo.