Phishing con código QR

Un código QR es solo una imagen de una dirección web, así que tu móvil lee la imagen y abre la página a la que apunta. No ves adónde va hasta que ya has llegado, y ese hueco es todo el ataque. El phishing con código QR, que algunos llaman quishing, consiste simplemente en poner un código malo donde la gente espera uno bueno.

La pegatina es todo el truco, porque alguien imprime un código en vinilo barato y lo pega encima del auténtico. Puede ser en un parquímetro, una mesa de restaurante, un punto de carga o una factura impresa, y la página que se abre se parece a la pantalla de pago que esperabas. El conductor paga una hora de aparcamiento y entrega el número entero de su tarjeta al mismo tiempo. En el parquímetro no ha cambiado nada, y por eso nadie se da cuenta en semanas.

El móvil esconde justo lo que te salvaría, porque la barra de direcciones es corta, la página ocupa toda la pantalla y una dirección larga se corta por la mitad. Un nombre como pay-parking-city.co cuela sin problema cuando es la única parte que puedes leer. En un ordenador mucha gente se habría parado a mirarlo, pero en un móvil no hay dónde pararse.

Dos comprobaciones tardan cinco segundos, y la primera es pasar el pulgar por el cartel antes de escanear. Una pegatina sobre otra deja un borde que engancha la uña, así que notas el engaño antes de abrirlo. La segunda es leer la dirección que muestra el móvil y fijarte solo en las dos últimas palabras antes de la primera barra, porque esa parte dice de quién es la página. Todo lo anterior lo puede escribir cualquiera.

Las empresas empeoran el problema sin querer, porque un código que lleva a un enlace de pago cualquiera enseña a sus clientes a escanear y pagar sin pensar. Imprime la dirección escrita debajo del código, en tu propio dominio, y nunca pongas un código en un papel que pide dinero. Por eso las páginas de pago se quedan en el dominio principal cuando Linkysoft hace una web dentro de un proyecto de diseño y desarrollo web.

Si alguien ya escaneó un código y escribió los datos de su tarjeta, trátalo como un robo de tarjeta y no como un descuido. Llama al banco y cancélala, y después busca en el extracto un cargo pequeño de prueba. Los códigos impresos aparecen hoy más a menudo que las contraseñas en las preguntas que recibe el equipo de ciberseguridad de Linkysoft.