¿Qué es el quishing? Cómo reconocer el quishing y evitar problemas

Estás sentado en una terraza y escaneas un código QR para ver el menú. O estás en un parquímetro y pagas mediante un código QR. Quizá recibes una carta o un correo electrónico con un código para “gestionar algo rápidamente”. Parece normal y cómodo. Y eso es precisamente lo que hace que el quishing sea tan efectivo.

¿Qué es el quishing y cómo funciona?

El quishing es una combinación de las palabras phishing y QR. En lugar de hacer clic en un enlace, escaneas un código QR que te dirige a un sitio web.

El objetivo es el mismo que con el phishing: engañarte para que introduzcas datos, realices un pago o descargues algo. La diferencia es que ocurre a través de una vía que a muchas personas les parece más fiable.

Un código QR suele verse como algo práctico y seguro. Escaneas y sigues adelante. Pero detrás de ese código puede haber igual de fácilmente un sitio web falso que detrás de un enlace normal.

¿Por qué es peligroso el quishing?

El quishing es peligroso porque juega con la confianza y la rapidez.

Los códigos QR suelen encontrarse en entornos que resultan familiares, como restaurantes, tiendas, parquímetros o comunicaciones oficiales. Como resultado, las personas están menos alerta. No esperas fraude de inmediato en esas situaciones.

Además, un código QR se escanea rápidamente. Actúas de forma automática, sin comprobar primero a dónde vas a llegar. Eso es exactamente lo que aprovechan los estafadores.

El mayor riesgo es que no puedes ver de inmediato la URL detrás del código QR. Con el phishing tradicional, las personas se han vuelto más conscientes de enlaces sospechosos y direcciones web inusuales. Ese suele ser el momento en que se detecta el fraude. Con el quishing, ese momento de verificación falta, porque primero escaneas y solo después ves a dónde llegas.

Los estafadores aprovechan esto colocando códigos QR en entornos físicos y de confianza. Piensa en pegatinas, carteles, cartas o tarjetas en ubicaciones reales. Como parece algo físico y real, las personas confían más rápidamente.

El resultado puede ser que acabes en un sitio web falso, introduzcas tus datos, realices un pago incorrecto o descargues algo inseguro.

¿Qué formas de quishing son comunes?

1. Quishing a través de correos electrónicos y SMS
Recibes un mensaje de, por ejemplo, un banco, servicio de entrega o institución gubernamental con un código QR. El mensaje parece lógico, pero el código te dirige a un sitio web falso.

2. Quishing en ubicaciones públicas y de confianza
Los códigos QR en parquímetros, mesas de restaurantes, mostradores o carteles se sustituyen o se cubren. Como confías en el entorno, es más probable que escanees sin comprobarlo.

3. Quishing a través de cartas o paquetes
Recibes una carta o paquete con un código QR para “información adicional” o “confirmación”. Parece oficial, pero puede ser simplemente una trampa.

4. Quishing orientado a la acción rápida
Después de escanear, se te pide actuar de inmediato, como realizar un pago, iniciar sesión o confirmar una cuenta. Hay poco tiempo para pensar, y esa es precisamente la intención.

¿Cómo puedes reconocer el quishing?

No siempre puedes reconocer el quishing a primera vista. Eso es lo que hace que esta forma de fraude sea tan engañosa. Un código QR suele parecer inofensivo y a menudo se utiliza en situaciones que resultan normales y fiables. Como resultado, muchas personas son menos críticas que con un enlace normal en un correo electrónico o SMS.

Sin embargo, a menudo hay señales de que algo no está bien. A veces está en la situación en sí, a veces en el sitio web al que llegas después de escanear. Lo más importante es entrenarte para no continuar automáticamente después de escanear un código QR. Tomarte un momento para comprobar puede marcar la diferencia.

Presta especial atención a estas señales:

• Códigos QR inesperados: recibes un código QR sin haberlo solicitado ni esperado.
• Un entorno familiar que aun así resulta extraño: por ejemplo, una pegatina colocada sobre otro código QR o un código que parece mal colocado.
• Acción inmediata después de escanear: se te pide pagar, iniciar sesión o introducir datos personales de inmediato.
• Un sitio web inusual: la URL parece extraña o la página difiere de lo que normalmente esperas.
• Errores de marca y mal diseño: como errores de idioma, un logotipo incorrecto, colores diferentes o una página poco profesional.
• Una sensación de urgencia o presión: sientes que te empujan a actuar rápidamente sin una verificación adecuada.
  

¿Cómo puedes protegerte contra el quishing?

No escanees automáticamente, hazlo de forma consciente
Detente un momento antes de escanear, especialmente en situaciones que parecen muy normales o muy fáciles.

Comprueba siempre a dónde te dirige
Revisa la URL antes de introducir o confirmar nada.

Ten especial cuidado al compartir información sensible
Las organizaciones oficiales generalmente no te piden que proporciones información sensible a través de un código QR, como datos de inicio de sesión, información de pago o datos personales. Si ocurre, debes ser especialmente cauteloso. En muchos casos, puedes asumir que se trata de un intento de fraude.

Accede tú mismo al sitio web oficial
Introduce la dirección web manualmente o utiliza la app de la organización en lugar de escanear un código QR de un mensaje o una pegatina.

Estate especialmente alerta en entornos de confianza
Aquí es donde el quishing se utiliza cada vez más, porque las personas sospechan menos.

Utiliza protección adicional mientras navegas
Software de seguridad puede ayudarte detectando sitios web peligrosos, enlaces sospechosos y descargas dañinas, y avisándote a tiempo. Esto ayuda a evitar que acabes sin darte cuenta en un sitio web falso o que instales algo inseguro.

Algunos paquetes de seguridad van un paso más allá. Productos como McAfee Total Protection, McAfee+ Premium y McAfee+ Advanced incluyen un escáner de códigos QR integrado que comprueba si un código QR es seguro antes de abrirlo.

Si no estás seguro de si algo ha ido mal, puedes comprobar rápidamente si tu dispositivo sigue siendo seguro con un análisis de seguridad.

¿Qué debes hacer si ya has escaneado?

Detente de inmediato y no continúes en el sitio web
¿Notas que algo no va bien después de escanear un código QR? No continúes en el sitio web. No hagas clic en nada, no introduzcas ningún dato y cierra la página inmediatamente. Cuanto más tiempo permanezcas, mayor será el riesgo de que realices alguna acción que cause daño.

Cambia las contraseñas de inmediato
¿Has introducido datos? Entonces cambia tus contraseñas de inmediato, especialmente si utilizas la misma contraseña en varios sitios.

Contacta con tu banco en caso de pagos
¿Has realizado un pago? Contacta inmediatamente con tu banco para limitar más daños.

Comprueba tu dispositivo con un análisis de seguridad
¿Has descargado algo o no estás seguro de lo que ha ocurrido? Ejecuta un análisis de seguridad para comprobar si tu dispositivo es seguro.

Revisa cuentas y actividad
Comprueba tus cuentas en busca de actividad inusual y activa medidas de seguridad adicionales cuando sea posible, como la autenticación de dos factores (2FA).

¿Cómo puedes evitar ser víctima del quishing?

Adoptando un hábito sencillo: no escanees automáticamente, piensa primero. Comprueba a dónde te dirige, sé crítico con la situación y utiliza protección adicional como red de seguridad. Así se lo pones mucho más difícil a los estafadores.

Preguntas frecuentes sobre el quishing