El peligro invisible del QR: Por qué escanear códigos en sitios públicos se ha convertido en un riesgo de seguridad

Desde la pandemia, el código QR se convirtió en el elemento omnipresente de la hostelería. Sustituir las cartas de papel por un pequeño cuadrado pixelado en las mesas de bares, restaurantes y cafeterías parecía una evolución práctica y limpia. Sin embargo, detrás de esa aparente comodidad se esconde una de las técnicas de suplantación y fraude más extendidas y silenciosas del momento: el quishing (QR phishing).

Código QR en la pared de un restaurante

Lo que a simple vista es una vía rápida para ver el menú o conectarse a una red Wi-Fi en un establecimiento desconocido puede derivar en el robo de credenciales, la descarga de software malicioso o el acceso no autorizado a datos personales.

 ¿Qué es el Quishing y cómo funciona?

El quishing es una variante del phishing tradicional que utiliza códigos QR en lugar de enlaces de correo electrónico fraudulentos. Su éxito radica en que las personas confían ciegamente en un código físico impreso porque asumen que pertenece al local donde se encuentran.

• La manipulación física: Cualquier persona puede imprimir una pegatina con un código QR malicioso y colocarla encima del adhesivo original de una mesa, en la barra de una cafetería o en un cartel informativo.

• El engaño digital: Al escanearlo con la cámara del móvil, el sistema operativo interpreta la URL incrustada y abre el navegador. Los ciberdelincuentes diseñan páginas web falsas que imitan a la perfección pasarelas de pago, portales de inicio de sesión de redes sociales o formularios bancarios, induciendo al usuario a introducir contraseñas o datos financieros creyendo que está en un entorno seguro.

 Los dos grandes escenarios de riesgo: Menús y Redes Wi-Fi públicas

El peligro se multiplica especialmente en dos situaciones muy cotidianas:

• Cartas y menús digitales falsos: En lugar de mostrar la carta del restaurante, un QR manipulado puede redirigir a una web de phishing que solicite registro previo mediante redes sociales o datos bancarios para "ver el menú o pagar la cuenta", capturando de inmediato las credenciales de la víctima.

• Redes Wi-Fi señuelo (como la de la imagen): En muchos establecimientos se recurre a códigos QR para facilitar la conexión rápida a internet sin tener que teclear contraseñas complejas. Si el cartel o el código han sido alterados, el usuario puede terminar conectándose a un punto de acceso controlado por un atacante (Man-in-the-Middle), lo que permite interceptar el tráfico de red, monitorizar la navegación o robar información que se transmita sin cifrar.

 Pautas básicas de seguridad para escanear sin riesgos

Afortunadamente, protegerse frente a este tipo de fraudes no requiere dejar de usar los códigos QR, sino adoptar una serie de hábitos de precaución:

• Revisa siempre la URL previa: La mayoría de los smartphones actuales muestran una vista previa de la dirección web antes de abrirla en el navegador. Si la URL parece extraña, contiene faltas de ortografía, utiliza dominios extraños o no coincide con la marca del establecimiento, no la abras.

• Comprueba la manipulación física: En mesas o pegatinas expuestas al público, pasa el dedo por encima del código. Si notas que hay una pegatina superpuesta sobre otra o el papel parece manipulado, sospecha inmediatamente.

• Usa lectores con filtros de seguridad: Aplicaciones oficiales de lectura o los propios ajustes integrados de las cámaras de iOS y Android suelen advertir cuando un enlace es potencialmente peligroso o sospechoso de phishing.

• Desconfía de los inicios de sesión: Si al escanear un QR para ver un menú o una red Wi-Fi el sistema te exige introducir la contraseña de tu correo, de Google, de Apple o datos bancarios, ciérralo de inmediato. Ningún servicio legítimo de hostelería requiere credenciales personales de ese tipo para una función tan básica.

En conclusión

El código QR es una herramienta excelente, pero su anonimato visual lo convierte en el vector perfecto para el engaño. Detenerse un segundo a comprobar el enlace antes de pulsar sobre él es la única barrera eficaz para evitar que una simple cafetería se convierta en una brecha de seguridad para tus datos.