¿Es seguro este código QR?

Un código QR es la imagen de un enlace. Por sí solo no daña el teléfono y nada ocurre hasta abrir la dirección. El riesgo es que no puede leerla antes de que lo haga la cámara: una pegatina puede dirigirle a cualquier sitio. Los estafadores se aprovechan precisamente de esa brecha. Esta práctica se llama quishing, abreviatura de phishing mediante QR, y funciona porque un cuadrado de puntos no ofrece nada que permita juzgarlo. Un dominio mal escrito es visible en un correo electrónico; el mismo dominio dentro de un código QR no lo es.

Dónde aparecen códigos falsos

Casi siempre en lugares donde ya se espera pagar o iniciar sesión, porque a la estafa le basta con parecer normal. Pegatinas sobre códigos reales. Parquímetros, cargadores de vehículos eléctricos y mesas de restaurante son objetivos habituales. Tapan el código real y la página de pago pertenece al estafador. Avisos de paquetes. Una nota dice que falló la entrega y pide reprogramarla o pagar una pequeña tasa de aduana. La cantidad es baja porque el objetivo real es la tarjeta bancaria. Códigos en correos y documentos. Un código QR adjunto lleva a la víctima del correo laboral filtrado al móvil personal, normalmente menos protegido. Carteles y folletos. Wifi gratis, premios, criptomonedas o donaciones: cualquier urgencia que haga razonable escanear.

Cómo comprobarlo antes de abrir

Observe el código. No escanee una pegatina colocada sobre otro código. Levante una esquina si puede. Los códigos auténticos suelen estar impresos o grabados. Lea la dirección, no la página. Compruebe la parte situada justo antes de la primera barra simple. En pay-parking.example.com/city, el dominio real es example.com, no pay-parking. Todo lo que aparece a la izquierda lo elige quien controla el dominio. Desconfíe de inicios de sesión o pagos inesperados. Escanear un cartel no debería pedir una contraseña. Si ocurre, deténgase y abra el servicio como lo hace habitualmente. Escriba usted mismo la dirección si hay dinero de por medio. Para aparcamientos, entregas o bancos, abra la aplicación oficial o escriba la dirección del sitio. Tarda más, pero elimina el riesgo.

Qué comprueba nuestro escáner

El escáner de códigos QR de Nev lee el código en su dispositivo y nunca sube la imagen. Cuando obtiene la dirección, la comprueba antes de mostrarle nada: Amenazas conocidas. La dirección se compara con registros actualizados continuamente de servidores denunciados por phishing o malware. Si coincide, queda bloqueada por completo y no puede abrirse desde la pantalla de resultados. Comprobaciones estructurales. Las direcciones también se examinan en busca de patrones habituales en las páginas de phishing, incluidas las marcas suplantadas y los caracteres elegidos para imitar letras normales. Enlaces acortados. Si un código oculta un enlace acortado dentro de otro, también se comprueba el destino, de modo que una redirección no puede ocultar una dirección marcada. Más información. Lo que no supera estas comprobaciones muestra un aviso antes de continuar. Los enlaces seguros solo se abren automáticamente si usted activa esta opción.

Si ya ha escaneado uno

Abrir la página rara vez es el paso dañino. Lo importante es lo que haya hecho después. Si ha introducido una contraseña, cámbiela inmediatamente en el sitio auténtico y en cualquier otro lugar donde la haya reutilizado. Active la autenticación de dos factores. Si ha introducido los datos de una tarjeta, llame a su banco y comunique que la tarjeta está comprometida. Normalmente podrán bloquearla y sustituirla de inmediato. Si ha instalado algo, elimínelo y, en Android, revise si se le han concedido permisos innecesarios de accesibilidad o de administrador del dispositivo. Si solo ha visto la página, ciérrela. Visitar una página de phishing no da por sí solo acceso a sus cuentas. Informe del código a los responsables del lugar donde lo encontró. Los operadores de aparcamientos, ayuntamientos y empresas de reparto suelen querer saberlo, porque la pegatina normalmente sigue allí para la siguiente persona.