Códigos QR falsos

Un código QR no lo lee una persona: en eso está su comodidad y su debilidad. Una pegatina sobre el código real cuesta céntimos, parece parte del cartel y lleva adonde quiera quien la pegó.

Dónde aparecen

• Parquímetros y terminales de pago. La gente va con prisa y paga sin mirar.
• Mesas de bares. El código de la carta se cambia por un formulario de «pagar la reserva».
• Avisos de entrega y paquetes. «Pague el almacenamiento con este código.»
• Facturas de suministros en el buzón: se imprime una factura falsa entera.
• Puntos de carga y alquiler de bicicletas. Pagar por código es natural ahí y nadie espera un cambiazo.

Qué comprobar

1. La propia pegatina

   Pasa el dedo: un código pegado encima se nota por los bordes. Una pegatina nueva sobre un cartel descolorido ya es una señal.

2. La dirección antes de abrir

   La cámara muestra el enlace antes de abrirlo. Mira el final de la dirección antes de la primera barra: ese es el dominio real, lo demás se falsifica. Las técnicas están en phishing.

3. Qué te pide la página

   Pagar el aparcamiento no requiere el acceso a tu banco. Una carta de bar no requiere nada. Cualquier formulario de acceso tras escanear un código en la calle es motivo para cerrar la página.

4. Una vía alternativa

   Un aparcamiento real tiene aplicación y un número para SMS; un bar, carta en papel. Si el código es la única forma, eso también es una pregunta.

Si ya introdujiste datos

1. Bloquea la tarjeta

   Si introdujiste sus datos, de inmediato, sin esperar a que haya un cargo.

2. Cambia la contraseña

   Si introdujiste usuario y contraseña, hazlo en el sitio real entrando tú. Después, sigue el procedimiento de filtración.

3. Revisa lo que se haya instalado

   Si desde el enlace se descargó un archivo y lo abriste, revisa la lista de aplicaciones y borra lo desconocido.

4. Avisa al dueño del sitio

   Un bar o un aparcamiento no suele saber lo de la pegatina. Un aviso protege a los siguientes.

Esto vale también para tus códigos

Si eres tú quien coloca un QR — en una tarjeta, en un local, en un envase —, una pegatina falsa daña tu reputación, no la de quien la puso.

• El código está impreso, no pegado encima
• La dirección está escrita al lado y se puede teclear a mano
• Lleva a mi propio dominio, no a un acortador
• Compruebo de vez en cuando que el código sigue ahí y sin tapar

Puedes crear un código aquí — se genera en el navegador y no se envía a ninguna parte —, y para un local resulta cómodo un código de conexión Wi-Fi.