El fraude del código QR pegado encima, y cómo no caer

Llegas a un parquímetro y tiene una pegatina con un código QR para pagar desde el móvil. Escaneas, se abre una web con el aspecto correcto, metes la tarjeta y pagas. Solo que la pegatina la puso alguien esa madrugada, y acabas de darle tu tarjeta.

Se llama quishing —phishing con código QR— y funciona por un motivo muy simple: un código QR es el único enlace del mundo que no puedes leer antes de pulsarlo.

Por qué el ojo humano no puede defenderse

Ante un enlace de texto tienes defensas: ves el dominio, notas que está mal escrito, ves que no coincide con lo que dice el botón. Todas esas defensas requieren leer.

Un QR es un cuadrado de píxeles. Dos códigos que llevan a sitios completamente distintos parecen igual de arbitrarios. No hay forma de sospechar de uno y no del otro, porque para el ojo humano ninguno significa nada. La única defensa es leerlo con una máquina antes de obedecerlo.

Dónde está pasando

Los sitios que se repiten en los avisos de la policía y de la OCU tienen algo en común: son lugares donde escanear un QR ya es lo normal, así que nadie sospecha.

• Parquímetros y zonas de aparcamiento, con pegatinas encima del código legítimo.
• Cartas de restaurante, donde el QR sustituyó al menú de papel.
• Multas falsas en el parabrisas, con un QR «para pagar con descuento».
• Puntos de recarga de coches eléctricos y de patinetes.
• Cartas en papel que imitan a un banco o a Hacienda, donde el QR sortea los filtros antispam del correo.

Ese último es el que más ha crecido en entornos de empresa: el correo con un QR pasa los filtros porque no lleva ningún enlace que analizar, solo una imagen.

El gesto de tres segundos

Leer el código antes de abrirlo. Con nuestro lector de QR puedes apuntar con la cámara o subir una foto del código y ver el texto que lleva dentro sin abrir nada. Y entonces mirar el dominio, que es lo único que importa.

El dominio es lo que va justo antes de la primera barra. En https://pagos.ayuntamiento.es/parquimetro/34, el dominio es pagos.ayuntamiento.es. Todo lo que venga después lo controla quien tenga ese dominio, y no dice nada sobre quién es.

Cinco señales de que no es lo que parece

1. Un acortador. Nadie que gestione un servicio público serio esconde su propia dirección detrás de un acortador.
2. Un dominio parecido pero no igual. Guiones de más, palabras añadidas, una letra cambiada, o el nombre real metido como subcarpeta de otro dominio.
3. Una terminación que no viene a cuento. Un ayuntamiento español no cobra desde un dominio terminado en .top ni en .xyz.
4. Que pida tarjeta o credenciales nada más abrir. Un servicio legítimo suele enseñarte antes qué estás pagando.
5. Una pegatina que se nota pegada. Un borde levantado, un rectángulo que tapa algo, un código en papel sobre una superficie impresa. Merece la pena mirarlo con el dedo.

Los QR que no son enlaces

Un código QR guarda texto, y ese texto puede pedirle cosas distintas al móvil: conectarse a una red wifi, guardar un contacto, escribir un SMS, marcar un teléfono. Todas son aprovechables.

El del wifi tiene su gracia perversa: un QR puede conectar tu teléfono a una red que controla otra persona sin que tú escribas ninguna contraseña. Por eso, al leer un código, conviene saber también de qué tipo es, y no solo qué pone.

Si vas a poner tú un QR

Del otro lado del mostrador también hay cosas que hacer, sobre todo si tienes un negocio con un QR a la vista del público:

• Imprímelo, no lo pegues. Un código impreso directamente sobre la carta o el cartel es mucho más difícil de sustituir que una pegatina.
• Escribe la dirección debajo, en texto. Le da a la gente algo con lo que comparar.
• Usa tu propio dominio y no un acortador, aunque el código salga un poco más denso. Al generarlo puedes comprobar cómo queda.
• Revísalos de vez en cuando. Escanea tú mismo los códigos de tu local cada cierto tiempo: es la única forma de detectar que alguien ha pegado algo encima.

Sin paranoia

La inmensa mayoría de los códigos QR son exactamente lo que dicen ser, y no hay que dejar de usarlos. Lo que cambia el resultado es un hábito muy barato: cuando el código está en la calle, en un sitio público o en una carta que no esperabas, léelo antes de obedecerlo.