El punto débil de un código QR colocado en un espacio público suele ser bastante sencillo: una pegatina. No hace falta acceder al sistema informático de un restaurante ni modificar la aplicación de un festival. Basta con cubrir el código verdadero con otro que dirija el teléfono a una página distinta.
La sustitución funciona porque el código hereda la autoridad del lugar. Si aparece sobre una mesa, parece pertenecer al restaurante. Si está pegado en un parquímetro, se interpreta como una instrucción municipal. En la entrada de un evento puede confundirse con el programa, el plano del recinto o el acceso a las entradas digitales.
En 2023, el Ministerio del Interior alertó sobre delincuentes que sustituían códigos reales de restaurantes y multas de estacionamiento por otros conectados a pasarelas de pago falsas. La institución situó la advertencia dentro de una campaña sobre el aumento de la ciberdelincuencia, que ya representaba uno de cada cinco delitos cometidos en España.
En una ciudad con restaurantes, congresos y festivales durante buena parte del año, la misma técnica puede trasladarse a una carta, un cartel temporal o un punto de información.
Los establecimientos también deben revisar sus códigos
Normalmente, un restaurante comprueba la caja, el terminal de pago y las reservas antes de abrir. Los QR impresos suelen quedarse fuera de esa rutina. Una vez colocados en las mesas, pueden permanecer allí durante meses sin que nadie vuelva a comprobar dónde terminan.
Conviene tratarlos como cualquier otro elemento que conecta al cliente con un servicio digital. El personal debería escanearlos periódicamente, revisar que no haya una pegatina superpuesta y confirmar que el dominio sigue perteneciendo al negocio.
Imprimir la dirección web junto al código facilita esa comprobación. El cliente puede comparar la vista previa del teléfono con el dominio escrito en la carta. Un QR sin contexto obliga a confiar únicamente en el dibujo.
También importa lo que sucede cuando una campaña termina. Un cartel de un festival puede seguir pegado después del evento, mientras que la página asociada ha sido eliminada o el dominio ha dejado de utilizarse. Si otra persona consigue controlar ese destino, el código impreso continúa funcionando con una finalidad diferente.
Los menús deberían abrirse sin exigir una cuenta. Un programa cultural tampoco necesita solicitar datos bancarios ni pedir la descarga de una aplicación para mostrar sus horarios. Cuando el destino reclama más información de la necesaria, el visitante debería disponer de otra vía: una dirección escrita, la web oficial o la ayuda del personal.
La dirección aparece cuando la confianza ya está decidida
Con un enlace normal, el dominio puede leerse antes de pulsar. En un QR queda oculto dentro del patrón. La cámara muestra una vista previa, pero el contexto físico ya ha influido en la decisión.
El fraude ya tiene un nombre. El Banco de España utiliza el término QRishing para describir la manipulación de códigos que llevan a páginas o aplicaciones maliciosas. Entre los casos identificados aparecen multas falsas, pegatinas colocadas sobre códigos legítimos y el llamado QR inverso, empleado para engañar durante el pago de una cuenta.
El contexto hace buena parte del trabajo. En un festival, “consulta aquí los cambios de horario” parece razonable. Frente a un aparcamiento, “paga con el móvil” resulta familiar. Un establecimiento lleno puede colocar un aviso para agilizar pedidos sin que nadie se sorprenda.
Después aparece una web diseñada para mantener esa confianza. Puede copiar el nombre del evento, utilizar fotografías de Donostia o reproducir el aspecto de un servicio de pago conocido. En una pantalla pequeña, una letra añadida al dominio pasa fácilmente desapercibida.
Antes de abrir la página se puede desplegar la dirección completa. El nombre principal debe coincidir con el organizador, el establecimiento o el servicio que supuestamente está detrás del código. Un candado HTTPS cifra la conexión con esa web, pero no identifica por sí solo a su propietario.
Los enlaces acortados eliminan buena parte del contexto. La recomendación de la entidad bancaria es expandirlos antes de abrirlos o evitarlos cuando no sea posible conocer el destino. Si un restaurante utiliza uno, el personal debería poder confirmar la dirección. Para consultar un programa o comprar una entrada, también se puede escribir el nombre del evento en el navegador y acceder desde su página oficial.
Un mismo móvil durante todo el día
Un visitante que pasa un fin de semana en Donostia puede utilizar el teléfono para hacer el check-in del hotel, consultar el autobús, presentar una entrada, abrir un menú y pagar una reserva. No existe un momento separado llamado “actividad sensible”; las cuentas, los mapas y el ocio conviven en el mismo dispositivo.
La preparación más útil ocurre antes de salir. Las entradas pueden guardarse para abrirlas sin conexión, las aplicaciones oficiales se instalan desde su tienda correspondiente y el sistema operativo se actualiza mientras todavía se dispone de tiempo y de una red conocida.
Algo parecido sucede con las herramientas de privacidad. Si la persona quiere utilizar una VPN durante el viaje, puede leer en TheBestVPN reseñas y explicaciones sobre distintos servicios antes de elegir uno y descargarlo desde el canal oficial. Esa decisión queda resuelta antes de que el móvil empiece a recibir enlaces desde carteles, anuncios o códigos encontrados durante la estancia.
Durante el día ya no es necesario improvisar. Si un QR ofrece instalar un “lector especial”, una aplicación de descuentos o una herramienta de seguridad para continuar, se puede cerrar la página. Las cámaras actuales suelen leer códigos sin añadir otra aplicación.
El objetivo puede ser una cuenta, no un pago
Una web falsa no siempre solicita la tarjeta en la primera pantalla. Puede imitar el acceso a Google, Apple o una red social para recoger una contraseña. Otra opción es pedir permiso para enviar notificaciones, obtener la ubicación o descargar un archivo.
INCIBE publicó un caso de 2024 atendido a través de su servicio de ayuda 017. Una mujer recibió junto a un reloj inteligente un folleto que prometía ventajas adicionales. Tras escanear el código, introdujo sus datos personales y bancarios en un formulario. Días después descubrió que había activado una suscripción no deseada.
El ejemplo resulta cercano porque no comenzó con un mensaje amenazante. El código acompañaba a un producto comprado y ofrecía una promoción aparentemente relacionada. En un festival, la motivación puede ser acceder a un sorteo; en un bar, conseguir un descuento.
Si la página solo se ha abierto, normalmente basta con cerrarla y revisar que no haya comenzado ninguna descarga. Haber introducido una contraseña requiere entrar manualmente en la cuenta auténtica, cambiarla y comprobar las sesiones activas. Cuando la misma clave se utiliza en otros servicios, también debe sustituirse allí.
Después de proporcionar los datos de una tarjeta, corresponde avisar al banco y revisar los movimientos. Una aplicación instalada desde el enlace exige comprobar qué permisos recibió antes de eliminarla. El negocio o el organizador debería conservar la dirección fraudulenta y retirar el código físico mientras investiga lo ocurrido.
Un QR no siempre abre una página web
Una dirección de internet es solo uno de los contenidos que admite esta tecnología. Según el servicio QR UPM, un código puede almacenar información relacionada con un mensaje SMS, un número de teléfono, un correo electrónico, una ubicación, un evento o las credenciales de una red Wi-Fi. También puede emplearse para pagos, entradas, alojamientos y comunicaciones de eventos.
Esto cambia lo que conviene observar después de escanearlo. El teléfono puede preparar una llamada, mostrar una red disponible o abrir una aplicación que ya estaba instalada. Antes de confirmar la acción, la pantalla debería coincidir con lo que prometía el cartel.
Para restaurantes y organizadores, el control más inmediato continúa estando en el propio soporte. El dominio puede imprimirse debajo del código, las pegatinas deben evitarse cuando sea posible y cada ubicación necesita un responsable.
En la revisión se puede anotar la fecha, el lugar y la dirección abierta. Si el destino no coincide con el registro, el código se retira hasta confirmar quién lo modificó.
Deja un comentario