Quishing: El peligro oculto detrás de un escaneo inocente

La digitalización de las interacciones cotidianas nos ha traído una comodidad innegable. Consultar la carta de un restaurante, acceder a la red Wi-Fi de un hotel, validar una entrada o pagar las tasas de un parking público a través de un código QR se ha convertido en un acto reflejo para millones de ciudadanos y profesionales. Sin embargo, esta confianza ciega ha dado origen a una modalidad de fraude al alza: el Quishing o QR Code Phishing.

La anatomía del engaño

El quishing consiste en la manipulación o creación de códigos QR maliciosos con el objetivo de redirigir a las víctimas a páginas web fraudulentas (que imitan a pasarelas de pago, entidades bancarias o servicios públicos) para robar sus datos credenciales o forzar la descarga de malware en sus dispositivos.

A nivel corporativo, esta técnica está siendo especialmente utilizada por los ciberdelincuentes debido a una alarmante ventaja táctica: la mayoría de los sistemas tradicionales de seguridad y pasarelas de correo electrónico escanean textos y enlaces adjuntos, pero a menudo no son capaces de «leer» ni analizar las URLs ocultas dentro de una imagen QR. De este modo, un correo fraudulento con un QR logra saltarse los filtros de spam y llega directamente a la bandeja de entrada del empleado.

Por otro lado, el fraude también se desplaza al plano físico. Los delincuentes colocan pegatinas con QR falsos sobre los códigos legítimos de parquímetros, estaciones de carga de vehículos eléctricos o cartelería pública, interceptando los pagos de los usuarios sin que estos sospechen absolutamente nada.

Consecuencias para los dispositivos corporativos

Cuando un empleado escanea uno de estos códigos desde un dispositivo de la empresa, el riesgo se multiplica. No solo se pone en peligro la información personal del usuario, sino que puede abrir la puerta a un ataque de ransomware capaz de comprometer toda la red corporativa, provocando fugas de datos confidenciales y paralizaciones de la actividad del negocio.

Pautas de mitigación y defensa

Para mitigar el impacto del quishing, desde la AEECF aconsejamos integrar las siguientes buenas prácticas tanto en la cultura corporativa como en el uso personal:

• Desactivar la apertura automática: Configure las aplicaciones de cámara de los dispositivos móviles para que muestren la URL completa del enlace antes de redirigir automáticamente al sitio web. Si la dirección acortada o el dominio parecen sospechosos, no acceda.
• Inspección física del código: En espacios públicos, verifique visualmente que el código QR no sea una pegatina superpuesta sobre el soporte original. Ante la menor duda, solicite el enlace manual o busque otra vía de gestión.
• No escanear QR de fuentes desconocidas: Aplique la misma política de prudencia que con los archivos adjuntos sospechosos. Ninguna entidad financiera ni proveedor de confianza exigirá el escaneo de un código QR de manera imprevista para «solucionar un problema urgente» en su cuenta.

Fomentar una cultura de la sospecha saludable y verificar el destino de cada enlace sigue siendo la estrategia más económica y efectiva para mantener el fraude a raya.