España es el segundo país más afectado por las estafas de quishing, las que se basan en códigos QR manipulados para robar datos personales y bancarios. Según los datos recogidos en el informe, el país concentra el 17% de las detecciones, solo por detrás de Estados Unidos, que encabeza la lista con el 19%. A escala mundial, este tipo de fraude ha crecido un 146% en los últimos trimestres.
El método más habitual consiste en colocar pegatinas con códigos QR falsos sobre los parquímetros. Quien escanea el código es redirigido a una página que imita la de un sistema de pago legítimo, donde se le pide introducir los datos de su tarjeta. Los delincuentes suelen utilizar como reclamo una petición de pago de unos dos euros, una cantidad lo bastante pequeña como para que muchos usuarios no duden en completar la operación. El engaño se apoya precisamente en esa sensación de normalidad: el usuario cree estar pagando un servicio cotidiano y no sospecha de la sticker que tiene delante.
Los engaños no se limitan a los aparcamientos. También se han detectado señuelos en restaurantes, donde el código sustituye al menú o a la carta de pago, y falsas notificaciones de entrega de paquetes, en las que el código lleva a una web preparada para robar información. En estos casos, el mensaje suele apelar a la urgencia: una entrega pendiente, un pago que hay que confirmar o una incidencia que resolver cuanto antes. Ese tipo de presión temporal es uno de los elementos que más facilita que la víctima actúe sin pensar.
El experto Efrén Barón, de DLT Code, advierte de que el fraude va en aumento y de que la inteligencia artificial está permitiendo fabricar páginas falsas cada vez más parecidas a las originales, lo que dificulta distinguirlas a simple vista. Antes, un error ortográfico o un diseño torpe delataba con facilidad a una web fraudulenta; hoy, esas pistas se han reducido notablemente.
Barón explica que abrir un enlace malicioso no implica necesariamente que el teléfono haya sido hackeado. El riesgo aumenta cuando el usuario comparte datos personales, bancarios o archivos a través de la página falsa. Por ello, recomienda verificar la dirección web antes de introducir cualquier información, comprobando que corresponde realmente a la entidad o servicio que dice ofrecerla.
En caso de haber sido víctima, los expertos aconsejan ponerse en contacto de inmediato con el banco, cambiar las contraseñas afectadas, conservar las pruebas del engaño y presentar una denuncia. El Instituto Nacional de Ciberseguridad (INCIBE) ofrece orientación a los usuarios afectados. Cuanto antes se actúe, mayores son las posibilidades de limitar el daño, sobre todo cuando se han facilitado datos de tarjeta.
Las empresas, por su parte, deberían revisar periódicamente que sus códigos QR no hayan sido manipulados, especialmente en espacios públicos o en materiales de cara al cliente. Una pegatina colocada sobre el código original puede pasar desapercibida durante días, por lo que las comprobaciones regulares son una de las pocas medidas al alcance de los responsables de los establecimientos para frenar este tipo de fraude.