Estafas, robo de datos y falsificaciones: la cara más desconocida de los códigos QR

Fueron una de las primeras innovaciones que llegaron a nuestros teléfonos inteligentes hace alrededor de una década, pero no ha sido hasta el año pasado, con el estallido de la pandemia de COVID-19, cuando han pasado realmente a formar parte de nuestra vida. Los códigos QR, inventados en 1994, se han erigido en la solución para evitar el contacto con las cartas impresas en los locales de hostelería. Un remedio que ha propiciado que ya sean pocos quienes no han usado aún sus cámaras o aplicaciones móviles para consultar la lista de comidas y bebidas en un bar o en un restaurante.

Pero de la misma manera que ya escasean los ajenos a esta tecnología, también son pocos los que están al tanto del uso fraudulento y malicioso que se hace de ella para fines espurios. A principios de septiembre, la Comisaría Provincial de Málaga emitía un aviso en el que advertía de que este tipo de códigos «ha sido aprovechado por estafadores informáticos para utilizarlo de forma delictiva y hacerse con datos personales y/o bancarios de las víctimas», y ofrecía una serie de consejos para evitar caer en sus redes.

Los códigos QR falsos se ubican habitualmente en lugares públicos, como mesas de terrazas, paradas de transporte o parquímetros y tienen, como es lógico, la misma apariencia que un código auténtico. Son colocados por los estafadores en lugar de los QR verdaderos, lo que facilita que la víctima, desprevenida ante una artimaña de lo más desconocida, caiga en la trampa sin darse cuenta.

Los QR fraudulentos se ubican en lugares públicos como terrazas, paradas de transporte o parquímetros

El timo funciona de la siguiente manera: el usuario escanea el QR con su móvil y accede al enlace sin leer la advertencia de seguridad que, con según que aplicaciones, aparece antes. Una vez dentro, el daño ya está hecho: el código inyecta un virus informático que se adueña de los datos almacenados en el teléfono y que en ocasiones no provoca siquiera la interrupción del teléfono, por lo que el usuario puede incluso no tener consciencia de la usurpación.

Ante este enredo, tanto la Policía como el Instituto Nacional de Ciberseguridad (Incibe) ofrecen varias recomendaciones para eludirlos. En primer lugar, revisar que la dirección de la ventana de seguridad concuerde con la del servicio que se quiere consultar y no contenga faltas de ortografía. En segundo, emplear solo aplicaciones que hagan uso de esas advertencias y desinstalar las que redirijan directamente a la página. Y, en tercero y último, mantener siempre el móvil actualizado, ya que las nuevas versiones de software añaden capas de seguridad que recogen la experiencia de otros usuarios.

En caso de haber sido ya atacado con esta técnica, llamada ‘QRing’ (una variante del también fraudulento phising), las autoridades recomiendan emplear un antivirus o restablecer el teléfono a la configuración de fábrica. Siempre, eso sí, realizando antes una copia de seguridad para no perder los datos, en caso de que sea posible.

Suplantación de identidades

Pero el uso indebido de esta tecnología ha ido aún más allá en los últimos tiempos. Según expertos de SICPA, una de las empresas más destacadas en verificación de identidades, la obligatoriedad del pasaporte Covid para viajar o acceder a locales de ocio ha propiciado la aparición de todo un mercado negro a través del que las personas no vacunadas se hacen con códigos pertenecientes a individuos que sí lo están.

En relación a esta última problemática, los expertos llaman a extremar la prudencia para evitar que se hagan copias o fotocopias del código. Y recuerdan, además, que la suplantación de identidad conlleva en España una importante sanción económica e incluso pena de cárcel, en algunos casos.