Las billeteras virtuales se han convertido en una herramienta esencial en la vida diaria, facilitando pagos y transacciones. El código QR, un símbolo de esta tecnología sin contacto, ha simplificado estas operaciones. Sin embargo, esta comodidad oculta una amenaza: los ciberdelincuentes aprovechan la confianza de los usuarios para perpetrar fraudes.
El doble filo del código QR
Un código QR es un gráfico que, al ser escaneado, traduce patrones en información digital (direcciones web, números de cuenta, textos o instrucciones).
En la Argentina, su uso más popular es el de puente entre billeteras virtuales y puntos de venta. Pero esta simplicidad es su mayor vulnerabilidad, ya que lo esencial permanece oculto para el ojo humano.
Al escanear, el usuario confía en que el código lo llevará a un sitio legítimo, sin considerar que podría ser dirigido a una página falsa diseñada para engañar o robar datos.
El mecanismo de este fraude es simple y efectivo: el delincuente crea un QR que redirige a un sitio web falso, idéntico al original. El usuario, creyendo estar en un entorno legítimo, ingresa información confidencial (contraseñas, CVU, números de tarjeta) que va directamente a manos del estafador.
Ejemplos de QR falsos en la vida cotidiana
- Comercios y cafés: Una calcomanía sobre el código legítimo desvía a un sitio similar pero falso.
- Estacionamientos: Pegatinas con QR apócrifos redirigen a portales falsos del sistema de estacionamiento medido.
- Redes sociales y mensajería: Ofertas, promociones o «sorteos» falsos comparten un código que dirige a una página de phishing.
- Folletos, recibos o buzoneo: Tarjetas impresas con QR fraudulentos redirigen a sitios web inseguros.
La sofisticación de estos engaños hace que sea difícil distinguirlos, incluso para usuarios atentos. Los estafadores clonan logos, tipografías y mensajes de bienvenida, y el sentido de urgencia evita que la víctima revise la URL.
¿Por qué es tan difícil detectar el fraude?
- Opacidad del QR: No se puede ver a simple vista la información que contiene o su destino.
- Sitios clonados realistas: Utilizan técnicas de imitación avanzadas, incluyendo direcciones web con cambios mínimos.
- Sentido de urgencia: Frases como «aprovecha ya» o «promoción por tiempo limitado» apresuran la acción.
- Contextos confiables: Ver el código en un comercio conocido genera una falsa sensación de seguridad.
Tipos de estafas mediante QR
La creatividad de los ciberdelincuentes no tiene límites, y el repertorio de engaños crece constantemente:
- Phishing/Smishing a través de QR: El código redirige a un sitio que solicita información sensible bajo pretextos falsos.
- Malware y spyware: Desde el QR se puede enlazar la descarga de archivos sospechosos que contienen programas maliciosos.
- Estafas de «premios» o «sorteos» falsos: Los códigos prometen premios o descuentos que requieren información personal o un pequeño pago. Es importante recordar que ningún QR de pago legítimo está asociado a este tipo de promociones.
- Códigos manipulados físicamente: Adulteración del QR real con una calcomanía o etiqueta.
- Otras formas creativas de engaño: Recibos electrónicos manipulados, WiFi público mediante QR que compromete la seguridad, y supuestos chequeos de ingreso en actividades que capturan datos bancarios.
La importancia de la verificación: ¿Qué debemos chequear?
Escaneamos un QR en piloto automático, pero es crucial detenerse y verificar antes de confiar. La clave es adoptar una «cultura preventiva»:
Verificar la integridad física del QR
- Asegurarse de que no tenga calcomanías o etiquetas.
- Chequear que no esté adulterado, borroso o en contextos extraños.
- Preguntar al responsable del comercio si es legítimo si hay algo fuera de lugar.
- Desconfiar si el QR está en lugares inusuales.
No ingresar datos confidenciales
Ningún sitio de pago legítimo solicitará contraseñas de billeteras, banca electrónica, claves únicas, CVV, número de tarjeta completo, tokens de seguridad o contraseñas por SMS. Si lo solicitan, cerrar la página inmediatamente.
Desconfiar de premios, sorteos y ofertas milagrosas
Los QR de pago no están vinculados a este tipo de promociones. Si algo suena demasiado bueno para ser real, es probable que sea un fraude.
Revisar la URL antes de ingresar cualquier dato
- Verificar que el dominio sea conocido y legítimo (ej., www.mercadopago.com.ar y no www.mercadopayo.com).
- Asegurarse de que no haya letras cambiadas, números donde debería haber letras o combinaciones sospechosas.
- El sitio debe usar HTTPS (con ícono de candado).
- Evitar ingresar información en sitios cuya URL termina en dominios poco usuales.
Utilizar solo aplicaciones oficiales y verificadas
Descargar aplicaciones solo desde tiendas oficiales (Google Play, App Store) y verificar calificaciones y desarrollador.
Mantener actualizado el software del dispositivo
Las actualizaciones incluyen parches de seguridad.
Activar la autenticación de dos factores (2FA)
Agrega una capa extra de seguridad.
Educación continua ante nuevas estafas
Informarse sobre ciberseguridad en organismos oficiales y medios reconocidos, y compartir la información con el entorno.
Impacto de las estafas y el rol de las billeteras virtuales
Las ciberestafas vinculadas a billeteras virtuales y QR en Argentina están creciendo. Si bien hay datos oficiales, muchas víctimas no denuncian. El phishing fue la principal amenaza en 2023, afectando al 100% de las tecno financieras.
Las empresas de billeteras virtuales como Modo, Mercado Pago y Ualá implementaron medidas de seguridad como 2FA, alertas de acceso sospechoso, reportes de operaciones sospechosas y campañas de concientización. Sin embargo, la responsabilidad es compartida.
Ante un QR, guardia alta al escanear
La popularidad de las billeteras virtuales y los pagos digitales con QR trajo beneficios, pero también facilitó el fraude. Es crucial verificar la integridad del QR, desconfiar de premios y sorteos, y especialmente, comprobar la dirección web antes de ingresar cualquier dato.
La comodidad nunca debe anular la seguridad. Cada pago merece atención. Al escanear un QR, tómese dos segundos para verificar la URL y confiar en el origen.
Comparte esta recomendación: la prevención es el mecanismo más efectivo contra el delito digital. Porque, en el mundo virtual y en la Argentina, estar distraído puede salir muy caro.
Nota de R.: este artículo acerca de las estafas con códigos QR fue publicado originalmente en iProfesional.
Si te gustó o sirvió algo que publiqué, te ofrezco dos alternativas para agradecer y permitir la continuidad de mi trabajo en Bahía César:
Te invito a suscribirte gratis al boletín semanal de Bahía César para recibirlo en tu correo electrónico. Ingresa tu e-mail aquí.
