Cuidado con los códigos QR

Con la pandemia de 2019, las cartas de los menús, en bares y restaurantes, desaparecieron y fueron sustituidas por unos códigos QR que estaban incrustadas en las mesas.

A partir de ahí, se popularizaron y se utilizaron para casi todo: guías urbanas, guías en museos, castillos, monasterios, parques, reservas naturales, o incluso en árboles milenarios; también como cupones descuento en yogures. Podían verse en los folletos de empresas y fundaciones. También sirven para descarga de aplicaciones y juegos, accesos a redes wifi, facturas… Solo la imaginación limita su utilización (buena o mala).

Inteligencia desperdiciada
La especie humana no tiene remedio. Estoy seguro de que prefieres una película de asesinos a la biografía de San Francisco de Asís. Aun así, somos afortunados porque la mayoría de las personas trabajan para conseguir el bienestar de todos. Simultáneamente, el resto opta por todo lo contrario: herramientas de tortura, bombas, venenos, masacres, miseria, explotación, destrucción, abusos de todo tipo, etc.

En el terreno de la tecnología, pasa igual. Son muchos, muchísimos, los que crean aplicaciones gratuitas para hacernos la vida más fácil y cómoda. Unos pocos ejemplos serían WordPress, que favorece la creación de sitios web como este; o LibreOffice, que poco tiene que envidiar a Word y Excel. Sin embargo, algunos encuentran más divertido fastidiar al mundo mundial.

Qrishing
¡Hombre, colega, que bien! Nos lo habéis puesto a huevo. Es una nueva modalidad con la que podemos estafar a manos llenas. Con los códigos QR, os desplumaremos.

Efectivamente, seguir un código QR es como hacer clic en un enlace o abrir el adjunto de un email: ¡sorpresa, sorpresa! Los estafadores juegan con ventaja porque los humanos no podemos “leer” esos códigos ni anticipar las consecuencias de su uso.

Los incentivos
Los embaucadores viven de vaciar el máximo número posible de bolsillos y cuentas bancarias. Para ello hacen que sea prácticamente irresistible sacar el móvil y escanear uno de esos cuadradillos endemoniados.

Con una pegatina, en la mesa o en la carta del restaurante, comienza el espectáculo. En primer lugar, visitarás un sitio web que no es el que piensas que visitas. Todo estará tan bien currado que parecerá la web del restaurante; incluso te ofrecerá un increíble descuento si pides el menú por la aplicación y pagas por adelantado. Eso sí: te quedarás con cara de boniato cuando venga el camarero a tomarte nota.

En otros casos, esos QR maliciosos pueden llegar a través de un email, o estar junto a un banner publicitario de cualquier página web que visites.

Ejemplos reales
Los objetivos de los sinvergüenzas pueden ser de lo más variado e inesperado. Pero es mejor que lo veamos con ejemplos

Correo de Microsoft

Es un caso real. Un cargo importante de una empresa recibe un email que, aparentemente, procede de Microsoft. El correo comunica a la víctima que se han detectado graves brechas de seguridad en su cuenta Office 365 y que debe subsanarlas en un plazo de 2 días. Para ello se le invita, como medida de seguridad adicional, a escanear el código QR que viene en el cuerpo del mensaje.

El código conducirá al usuario a una falsa página de Microsoft, en la que introducirá sus datos (email y contraseña) y estos quedarán en manos de los delincuentes. Nada bueno va a pasar a partir de ahora.

Bicimad: estafas montado en bicicleta o patinete
Los usuarios de las bicicletas de alquiler de Madrid fueron víctimas de la estafa realizada con una pegatina que tapaba el QR original. Con ese pequeño cambio, el pago del servicio se desviaba a la web de un chapuzas que intentaba cobrar con libras esterlinas. Aun así, cobró.

Hemos cambiado un virus por otro
Los códigos QR tuvieron su auge en los restaurantes para disminuir la posibilidad de infectarnos, los unos a los otros, mediante el manoseo de la carta del menú. Los códigos QR tal vez han ayudado a lograr ese objetivo, pero han dejado las puertas y ventanas abiertas a una variedad infinita de virus informáticos y aplicaciones maliciosas. En resumen, con un código QR malintencionado se puede infectar tu móvil y tu Pc.

Para qué utilizan los códigos QR los amigos de lo ajeno
Menos cosas buenas, para todo lo demás: desde una estafa al robo de identidad, pasando por el control de tu correo electrónico. Veamos algunas ventajas para los cacos.

Realizar “pequeñas” acciones en tu móvil
Es relativamente fácil caer en la trampa de un código QR malicioso. En cualquier monasterio puede aparecer un folleto invitándote a un suculento descuento para un restaurante del lugar. Cuando muerdes el anzuelo, logran conectar el móvil a una red wifi desde la cual controlarán tu dispositivo. También podrían enviar un SMS (o mil) desde tu teléfono.

Es posible hacer una llamada (a Brasil o Filipinas), redactar un correo electrónico, o apuntarte a una red social. Incluso crear el contacto “Caixabank Empresas” para que atendieras, con toda la confianza del mundo, la futura llamada (a cobro revertido) del timador.

Otra “pequeña” cosa que pueden controlar, sin que tú lo sepas, es tu ubicación en tiempo real. Si estás lejos de casa, es fácil y tentador robar en ella.

Capturar tus datos
Algunos códigos QR “invitarán” a pagar la cuenta del restaurante, ofreciendo un irresistible descuento. Dejarás ahí, como no, tu nombre, tu email y tu tarjeta de crédito. Tal vez otros datos. Los problemas irán llegando. De paso, se harán con tus contraseñas.

Estafas
Acompañas a tu hijo al cole y te encuentras con un folleto, pegado a una farola, en el que se prometen avances espectaculares en matemáticas. Son clases particulares. ¡Y quedan pocas plazas! El QR está ahí, junto a un fantástico descuento. ¡No puedes dejar escapar la oportunidad! “Mi hijo ha salido al padre; un negado con las mates”. El teléfono salta del bolsillo, galopa hacia el QR y se lo zampa sin pensar. Ya estás apuntado y les has dado hasta la talla de tus calzoncillos. La tarjeta de crédito, lo primero.

Otra popular estafa es la creación de multas de aparcamiento falsas. Con el incentivo del 50% de descuento, se paga con gusto una multa que no hemos cometido a un tiparraco que estará comiendo marisco a nuestra salud.

Desvío del pago
Muchas tiendas ofrecen la posibilidad de pagar mediante un código QR. Es algo la mar de cómodo, ciertamente. Y de lo más moderno, claro. Pero si alguien superpone su propio QR mediante una pegatina, en lugar de pagar a la tienda, pagarás a un espabilado.

Lo mismo pasa en las entradas a concierto. Incluso algunos taxistas permiten que les pagues con esta tecnología. Se pueden comprar billetes de avión, de autobús, entradas de cine, conciertos, parkings o museos.

Los códigos QR se han popularizado tanto que los estafadores han encontrado una verdadera mina de oro.

Robo de identidad
Esto es una pesadilla de la que se tarda años en despertar. Si los cacos logran controlar tu móvil, pueden hacer lo mismo con tu email, tu ordenador e, incluso, con tu cuenta bancaria, incluyendo las tarjetas de crédito. Simulan bajas en la seguridad social para cobrar una paga extra a tu salud.

A partir de aquí solo les falta un pequeño detalle para eliminarte de la ecuación: conseguir un duplicado de tu SIM. Lo tienen fácil porque ya tienen todos tus datos.

QR inverso
Otra modalidad consiste en que los avispados de la vida se hacen con un código QR que te pertenece. Si tu billete de avión contiene un código QR y lo dejas a la vista, es posible que te quedes en el aeropuerto sin imaginar que alguien ya está montado en el avión degustando un aperitivo.

También podrían entrar en tu cuenta de WhatsApp si te despistas un momento.

Conclusión
Si no es necesario, mejor alejarse de los códigos QR porque es difícil detectar si son auténticos o provienen de un grupo de piratas que vive a costa de las buenas personas.