Estafa virtual: qué es el “qrishing” y cómo pueden vaciar tus cuentas bancarias con un código QR

QR hace referencia en inglés a “Quick Response”, que en español significa respuesta rápida. Ese código contiene una información asociada. Al ser escaneado por la cámara de un teléfono celular, lleva al usuario a una página web.

Se trata de la evolución del código de barras. Los usuarios lo utilizan para acceder a sitios web con información específica. Por ejemplo, en un restaurante puede servir para leer el menú del lugar y, en la vía pública, para llegar a una página con información sobre algún espectáculo u otro tipo de evento, entre múltiples ventajas. También se usa para pagar servicios y productos.

Una nueva modalidad de estafa revela que los delincuentes tomaron nota del creciente uso de esta ventaja informática: el “qrishing”, que es un tipo de “phishing” (suplantación de identidad).

Mediante el escaneo, el código QR lleva al usuario a un sitio web fraudulento en el que se solicita información clave, con la cual luego los delincuentes vacían cuentas bancarias de los embaucados o usan sus tarjetas de crédito. La víctima la otorga porque cree que interactúa con una página confiable, como puede ser la de una entidad bancaria.

“Esta nueva modalidad de ingeniería social busca lo mismo que las anteriores: engañar al usuario utilizando falsamente una identidad. Lo que buscan es redireccionar usuarios a sitios fraudulentos con la finalidad de robar números de tarjeta de crédito, datos personales o información sensible”, especificó este martes el especialista de ciberseguridad Luis Lubeck en diálogo con crónica.com.ar.

El experto puntualizó que los delincuentes suelen “pegar un QR fraudulento en lugares donde los usuarios esperan encontrar el original”.

“Hay que estar muy atentos, por ejemplo, en bares, porque hoy es muy común que se encuentre la carta para escanear; y en oficinas, donde puede haber un QR para pedido de información”, advirtió.

Lubeck alertó que “se vio también en entidades bancarias, justamente pegado en algún cajero automático, o en la puerta del lado de afuera”.

Otros daños que pueden causar los delincuentes con la maniobra
El especialista en ciberseguridad explicó que, con un QR, los delincuentes también pueden instalar en el dispositivo de la víctima “algún tipo de código malicioso, con lo cual el daño inclusive puede ser mucho mayor, como la colocación de un software espía”.

A su turno, su colega Rodrigo Iglesias advirtió en declaraciones a este medio sobre otra versión de este tipo de ataque informático, al precisar que “existen aplicaciones de lectura o creación de códigos QR falsos”.

Cómo protegerse del “qrishing”
Por su parte, el especialista en ciberseguridad Javier Lombardi explicó que una forma de protegerse es, cuando tras el escaneo de la cámara se obtiene el sitio web, ingresar primero a páginas que “permiten pegar la dirección y ahí conocer si detrás hay algún tipo de peligro”.

“Es importante contar con algún sistema de seguridad instalado en nuestros dispositivos móviles. La gente no toma a veces conciencia de la importancia de instalar lo que comúnmente llamamos antivirus en los teléfonos celulares”, resaltó por su lado Lubeck.

El especialista también recomendó, “antes de escanear un QR, chequear con la persona o la entidad si es el QR adecuado y si está en el lugar en el que debería encontrarse”.

“A veces puede resultar tedioso esto de tener que validar, pero hay que recordar que así estamos cuidando nuestra información sensible”, manifestó.

Por último, expresó: “Y, si a partir de escanear un QR se nos pide instalar algo, dudemos”.

¿Qué hacer si se cae en la trampa?
Iglesias, consultado sobre cómo se debe actuar si se cae en la trampa, respondió: “No sólo se deben iniciar las acciones penales correspondientes contra el posible delincuente, sino la acción civil contra el repositorio donde descargamos dicho lector de QR, por ejemplo; ahí tendremos una demanda civil por ‘daños y perjuicios’”.

A su turno, el abogado Thomas Nitzcaner especificó en contacto con crónica.com.ar que, “en el artículo 173, inciso 16, del Código Penal se encuentra contemplada la estafa informática”.

“Además, el artículo 40 de le Ley de Defensa del Consumidor establece que, a partir de defectos o vicios en un servicio o en una cosa, el proveedor es responsable cuando existe una relación de consumo. Si bien los bancos no tienen responsabilidad penal directa, sí tienen responsabilidad civil”, explicó el letrado.

El abogado añadió: “Porque, muchas veces, estas manipulaciones de datos ocurren, además de por la habilidad de los hackers, por deficiencias de sus sistemas”.

“Entonces, además de la denuncia penal, la víctima debe ir por la Justicia Comercial y pedir una medida precautoria, una medida cautelar, a los efectos de que el banco reintegre el dinero, si es que el hackeo ocurrió por el sistema bancario, o una empresa que provee una billetera virtual”, cerró el letrado.