El quishing —phishing mediante códigos QR— es una estafa en la que un código QR te lleva a una página de pago falsa, un formulario de inicio de sesión o una descarga en lugar del destino real que imita. Como un código QR oculta su enlace hasta que lo escaneas, la defensa es sencilla: previsualiza el enlace, comprueba el dominio y nunca introduzcas contraseñas ni datos de tarjeta después de un escaneo inesperado.
Qué es el quishing y por qué funciona
Un código QR no es más que un atajo: un patrón de puntos que codifica un texto, normalmente una dirección web. Tu teléfono decodifica ese texto y te ofrece abrirlo. El problema es que no puedes leer los puntos a simple vista, así que nunca ves a dónde lleva un código hasta que ya está en tu pantalla.
Los estafadores explotan dos cosas. Primero, la costumbre: escanear el menú de un restaurante, una señal de aparcamiento o un cartel se siente rutinario, y la rutina hace que la gente deje de pensar. Segundo, la confianza prestada: un código impreso en una pared, una carta o una factura parece oficial, aunque cualquiera con un generador gratuito puede crear uno en segundos. La palabra quishing simplemente combina "QR" y "phishing": los mismos trucos de los correos falsos, pero entregados en una pegatina cuadrada en lugar de un mensaje.
Las estafas de quishing más comunes
Pegatinas falsas sobre códigos reales. La versión clásica apunta al aparcamiento con pago por móvil. Un estafador imprime su propio código QR en una pegatina y la coloca sobre el código genuino de un parquímetro o de una señal. Los conductores escanean, llegan a una copia convincente de la web de pago, introducen los datos de su tarjeta, y el dinero —y los datos de la tarjeta— van al estafador. El mismo truco aparece en cargadores de coches eléctricos, alquileres de bicicletas y patinetes, mesas de restaurantes, carteles de donaciones y huchas solidarias.
Códigos en correos y cartas. Un código QR dentro de un correo suele ser una imagen, así que los filtros de spam basados en texto tienen menos que analizar. Las cartas en papel funcionan igual: "su cuenta será cerrada", "su paquete no ha podido entregarse", "tiene derecho a un reembolso: escanee para reclamar". El formato carta aporta autoridad; el código QR oculta el enlace.
Exigencias de pago urgentes. Muchos mensajes de quishing pulsan las mismas teclas que el phishing ordinario: una multa que hay que pagar ahora, un paquete retenido en un almacén, una cuenta suspendida. La urgencia existe para impedir que compruebes nada.
Un escaneo también puede hacer más que abrir una página. Según su contenido, puede abrir una aplicación de pago con el destinatario ya rellenado, añadir un contacto o un evento al calendario, iniciar una descarga o conectar tu teléfono a una red Wi-Fi. Cada una de esas acciones puede ser aprovechada por un estafador.
Previsualiza el enlace antes de abrirlo
La mayoría de los teléfonos modernos muestran el destino como un banner o una notificación cuando escaneas con la cámara integrada: nada se abre hasta que tocas. Trata esa vista previa como lo más importante: léela siempre, incluso con prisa.
En muchos teléfonos puedes mantener pulsada la vista previa para expandir la dirección web completa, algo que vale la pena hacer siempre que un enlace parezca acortado o extraño. Si una aplicación de escaneo abre el navegador automáticamente o inicia una descarga sin preguntar, sustitúyela. Un escáner que siempre muestra el enlace primero —como el gratuito de QRCodeMax.Vip— te devuelve la decisión a tus manos.
Una costumbre más: para todo lo que implique dinero o inicios de sesión, sáltate el escaneo por completo y abre la aplicación oficial o escribe la dirección que ya conoces. Un código QR es una comodidad, nunca una necesidad.
Cómo comprobar un dominio en segundos
Una dirección web tiene una parte que importa: el dominio, las palabras situadas inmediatamente antes de la primera barra simple. En pay.meters.example.com, el dominio es example.com. En example.com.meters-pay.info, el dominio es meters-pay.info: el "example.com" de delante es decoración. Los estafadores cuentan con que la gente lee de izquierda a derecha y se detiene en la palabra conocida.
Después busca imitaciones: un cero donde debería haber una "o", "rn" haciendo de "m", guiones de más, o un nombre de marca familiar pegado a un final ajeno. Las organizaciones legítimas usan un conjunto reducido de dominios de pago; una pegatina de aparcamiento que apunta a un dominio que nunca has visto es motivo suficiente para parar.
Si el dominio no te dice nada, no pagues, no inicies sesión, no descargues. Cierra la página.
Desconfía de la urgencia y nunca introduzcas credenciales tras un escaneo inesperado
La urgencia es la señal de alarma más evidente. Las multas reales, las entregas reales y los problemas reales de cuenta no caducan en treinta minutos, y ninguna organización genuina necesita tu contraseña con prisa. Cualquier mensaje que amenace con una multa, una grúa, un paquete perdido o una cuenta cerrada a menos que escanees y pagues de inmediato debe tratarse como hostil hasta que se demuestre lo contrario.
La regla que te protege de casi todas las consecuencias del quishing: tras un escaneo inesperado, nunca introduzcas una contraseña, un número de tarjeta ni un código de un solo uso. Está bien mirar la página; no está bien escribir. Si de verdad debes el aparcamiento o una factura, paga desde la aplicación o la web que usas habitualmente, no la que te entregó una pegatina.
Antes de confirmar cualquier pago que abrió un escaneo, comprueba el nombre del destinatario y el importe: los pagos por QR pueden llegar ya rellenados, y la estafa está en el rellenado. Y nunca instales una aplicación ni concedas permisos porque un código QR te lo pida.
Detectar pegatinas manipuladas y ubicaciones sospechosas
Las estafas físicas dejan pistas físicas. Antes de escanear un código en un lugar público, échale un vistazo de dos segundos:
- Bordes levantados, burbujas, o una pegatina colocada encima de una etiqueta impresa
- Una impresión más nítida, más borrosa o de otro color que la señal que la rodea
- Un código colocado donde no tiene sentido, como un código de pago en una farola
- Una pegatina que tapa parte del texto original o de otro código
Compara el código con cualquier dirección web impresa al lado en texto plano; una discrepancia es una advertencia clara. Si algo parece raro, no lo escanees: paga de otra forma y comunica la manipulación al operador, usando el número de teléfono impreso en la máquina o la señal, nunca uno que la propia pegatina proporcione.
Usa un escáner que muestre el enlace primero
La cámara integrada de tu teléfono suele ser la herramienta correcta: previsualiza el enlace y no instala nada por sí sola. Sea cual sea el escáner que uses, tres características importan. Debe mostrar el destino antes de abrir nada, nunca debe descargar archivos automáticamente y debe proceder de una fuente de confianza en lugar de una ficha desconocida en una tienda de aplicaciones.
Mantén también al día el sistema operativo y el navegador de tu teléfono; los navegadores modernos reconocen muchas páginas de phishing conocidas y te avisarán. Esa red de seguridad ayuda, pero no es una garantía: una página falsa en un dominio recién creado puede parecer idéntica a la real, y por eso leer el dominio importa más que cualquier herramienta.
Si tu negocio usa códigos QR
Cada código que imprimes es una promesa, y una pegatina sustituida la convierte en un ataque contra tus clientes. Unas cuantas costumbres mantienen esa promesa intacta:
- Asigna cada código físico a un responsable y revisa los de alto riesgo —aparcamiento, pagos, máquinas desatendidas— con un calendario regular.
- Usa códigos QR gestionados o "dinámicos" que apunten a través de un dominio corto y constante bajo tu control, de modo que un destino comprometido pueda cambiarse o desactivarse en minutos en lugar de reimprimir todos los carteles.
- Imprime el dominio de destino en texto plano junto a cada código. Así los clientes pueden verificar a dónde lleva, y una pegatina que tape ese texto resulta inmediatamente sospechosa.
- Evita enlaces cortos aleatorios que ocultan el destino; si acortas, usa tu propio dominio.
- Coloca los códigos donde el personal pueda verlos o protégelos con una carcasa resistente a manipulaciones, y considera cualquier código en una superficie exterior desatendida como un riesgo permanente.
- Explica a los clientes cómo pedirás y cómo no pedirás los pagos, y forma al personal para tratar los códigos QR en correos con la misma desconfianza que los enlaces.
Por último, comprueba periódicamente que cada código publicado sigue llevando a la página que debe. Que lo descubra un cliente es la peor forma de enterarse de una sustitución.
La idea clave
Un código QR es solo un enlace disfrazado, así que trátalo exactamente como tratarías un enlace de un desconocido: previsualízalo, lee el dominio, rechaza la urgencia y nunca introduzcas contraseñas ni datos de tarjeta después de un escaneo inesperado. Dos segundos de pausa antes de tocar neutralizan casi todas las estafas de quishing.