Código QR malicioso: El escaneo que abre la billetera

El mundo moderno parece a veces un rompecabezas de pequeños cuadrados blancos y negros. Están en todas partes: en menús de restaurantes, en postes de alumbrado público, en paquetes recibidos por correo e incluso en lápidas de cementerios. El código QR (Quick Response Code), inventado originalmente para la industria automotriz japonesa, ha tenido un resurgimiento meteórico durante la pandemia de COVID-19. Se ha convertido en el puente principal entre el mundo físico y el espacio digital. Pero dentro de esta comodidad, en medio del "clic" rápido y el escaneo instintivo, se esconde una de las amenazas más sofisticadas y en evolución en el mundo del fraude digital: el "Quishing" (Phishing mediante QR).

En los capítulos anteriores tratamos sobre mensajes de texto y correos electrónicos falsos. Allí, la trampa suele ser visible para quien sabe buscarla: una dirección de remitente extraña o un lenguaje mal escrito. Con un código QR, el problema es que el ojo humano no es capaz de leer el código. Para nosotros, es solo un patrón gráfico aleatorio. Depositamos nuestra plena confianza en nuestro teléfono móvil para que descifre el destino por nosotros, y a menudo, este destino puede ser la antesala de una pérdida económica.

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y eventos son solo para fines ilustrativos.

Ronen, un ingeniero de software, es considerado por su familia como un experto en el ámbito tecnológico. Él es quien configura los routers, instala el antivirus para sus padres y advierte a todos que no hagan clic en enlaces sospechosos por SMS. Pero un día, durante la tarde, incluso las defensas de Ronen fueron puestas a prueba.

Tenía prisa por llegar a una reunión importante en una zona concurrida. Después de una búsqueda agotadora, finalmente encontró estacionamiento disponible. En el parquímetro había una pegatina grande con el símbolo de una autoridad local y una marca que parecía oficial. "¿Estacionaste? Escanea y paga con un clic, sin necesidad de aplicación", decía junto a un código QR prominente.

"Excelente", pensó Ronen, "me ahorra tiempo". Sacó el teléfono, escaneó el código y en segundos se abrió en el navegador un sitio que parecía un portal de pagos oficial. Los colores eran correctos y el logotipo estaba en su lugar. Se le pidió que ingresara el número del vehículo y la duración deseada. Introdujo los detalles de la tarjeta de crédito, hizo clic en "Confirmar pago" y recibió un mensaje en la pantalla: "El pago se realizó con éxito. Disfrute del estacionamiento".

Ronen continuó hacia su reunión con la cabeza tranquila. No sabía que en este escenario, los datos de su tarjeta de crédito fueron transferidos a un servidor externo. Tampoco sabía que la pegatina que escaneó fue colocada sobre el parquímetro por un actor malintencionado que cubrió el código original.

El despertar llegó por la tarde. Ronen notó notificaciones de la entidad emisora de tarjeta de crédito sobre transacciones por sumas significativas realizadas en sitios extranjeros de los que nunca había oído hablar. Entró a la aplicación del banco y vio una lista de cargos pendientes. Recordó el parquímetro y aquel escaneo, que parecía tan inocente y cómodo.

Cuando se puso en contacto con el servicio de atención al cliente de la entidad emisora, la representante le preguntó: "¿Ha proporcionado los datos de la tarjeta en algún sitio recientemente?". "Solo en el estacionamiento", respondió Ronen. "Conocemos muchos casos como este últimamente", respondió la representante. "Es posible que haya escaneado un código falso".

La anatomía del fraude con QR: ¿Por qué funciona?

Para entender por qué el código QR se ha convertido en una herramienta eficaz en manos de los estafadores, debemos comprender la psicología detrás del escaneo. A diferencia de un enlace de texto (URL) donde podemos examinar las letras, un código QR es una "caja negra". El usuario promedio no sabe a dónde es llevado hasta que la acción ya se ha completado.

Estos fraudes suelen aprovechar varios factores clave:

1. Confianza en la ubicación física

Existe una tendencia a confiar en objetos físicos. Si una persona ve un código QR impreso en un cartel dentro de una institución reconocida, en una mesa de un restaurante o en una máquina de pago oficial, asume que el código pertenece al dueño del lugar. El pensamiento es: "Si la pegatina está aquí, es segura". Los actores malintencionados pueden llegar a lugares públicos y pegar un código malicioso sobre el código legítimo.

2. Evasión de mecanismos de defensa digitales

Los sistemas de seguridad de correo electrónico saben escanear enlaces e identificar sitios de phishing conocidos. Sin embargo, un código QR es una imagen. Ciertos programas de seguridad pueden tener dificultades para "leer" la imagen y analizar el enlace escondido dentro de ella con la misma eficacia que escanean texto, lo que permite que el mensaje supere los filtros de seguridad.

3. Sensación de urgencia y comodidad

Los códigos QR se colocan a menudo en lugares donde la gente tiene prisa: pago de estacionamiento, escaneo de menús o registro rápido. En situaciones de prisa, el pensamiento crítico puede disminuir, y el usuario puede escanear sin examinar a fondo la página de destino que se abre.

Tipos de fraudes con QR comunes: guía para identificar minas

Los fraudes con QR no se limitan solo a pegatinas en la calle. A lo largo de los años, durante el trabajo profesional, se han observado métodos variados:

El fraude del "paquete pendiente" en versión QR

En este escenario, una persona recibe una carta física en el buzón que parece enviada por una empresa de mensajería reconocida. La carta indica que intentaron entregar un paquete y que, para coordinar una nueva fecha o pagar gastos de gestión simbólicos, se debe escanear el código. La carta física genera una sensación de credibilidad, y el escaneo puede conducir a una página de pago falsa.

Fraudes en estaciones de carga para vehículos eléctricos

Muchas estaciones de carga funcionan mediante el escaneo de un código QR. Los actores malintencionados pueden pegar códigos falsos en las estaciones, que conducen a un sitio donde se le pide al conductor que ingrese los detalles de la tarjeta de crédito. En tal caso, el conductor puede perder los datos de su tarjeta sin que la estación realmente se active.

"Descuento especial" en restaurantes y cafeterías

En las mesas de los restaurantes puede aparecer un código que promete un descuento significativo a cambio de inscribirse en un club de clientes. El escaneo puede llevar a una página que solicita datos personales o la descarga de una aplicación que podría contener componentes maliciosos que extraen información del dispositivo móvil.

Aspectos legales: examen de responsabilidad en caso de fraude

Cuando una persona descubre que su cuenta ha sido cargada tras escanear un código QR malicioso, surge la pregunta legal sobre las opciones de restitución de fondos. En Israel, el tema está regulado por la Ley de Servicios de Pago de 2019.

La ley otorga protección al consumidor en caso de "uso no autorizado" de un medio de pago. Por regla general, si se realizaron transacciones sin autorización, la responsabilidad del cliente se limita a las sumas establecidas por ley, y es posible examinar la demanda de restitución del resto del daño por parte de la entidad de pago. El debate legal a menudo se centra en si el cliente actuó con intención fraudulenta o con negligencia grave.

La cuestión de la "negligencia grave" en el escaneo de QR

Podría surgir el argumento de que escanear un código pegado en la calle e ingresar datos constituye una negligencia grave. Por el contrario, en un análisis legal de estos casos, se puede argumentar que cuando la suplantación de identidad es sofisticada y el código se coloca en un lugar público que le confiere una presunción de integridad, no debe considerarse como una negligencia grave que exima de la protección legal.

En muchos casos, el enfoque legal tiende a proteger al consumidor, ya que la "negligencia grave" es un umbral alto que la entidad de pago debe probar. En circunstancias en las que una persona fue víctima de un acto de fraude sofisticado, se pueden examinar las posibilidades de recuperación de los fondos según las circunstancias del caso.

Responsabilidad del propietario del inmueble o la autoridad local

Otra cuestión legal es la responsabilidad del organismo en cuyo territorio o instalaciones se pegó el código. Se puede examinar si un organismo que opera instalaciones en el espacio público y no toma medidas para eliminar las pegatinas maliciosas a lo largo del tiempo, ha incumplido su deber de cuidado. Se trata de cuestiones legales que pueden analizarse de acuerdo con la ley general de daños y perjuicios.

Tácticas de defensa: higiene del escaneo

Se puede seguir utilizando códigos QR tomando medidas de precaución:

1. Inspección física

Antes de escanear un código en un lugar público, se recomienda verificar que no sea una pegatina pegada sobre otro código. Si parece que el código no es una parte integral del letrero o del dispositivo, es aconsejable evitar su escaneo.

2. Examen de la dirección del sitio (URL)

La mayoría de los dispositivos muestran una vista previa de la dirección del sitio antes de abrirlo. Se debe examinar la dirección y asegurarse de que coincida con el organismo oficial esperado y que no se trate de una dirección acortada o sospechosa.

3. Descarga de aplicaciones solo de fuentes oficiales

Se recomienda evitar la descarga de aplicaciones directamente a través de un código QR. Es mejor buscar la aplicación manualmente en las tiendas oficiales, que realizan pruebas de seguridad al contenido cargado en ellas.

4. Uso de autenticación de dos factores (2FA)

La activación de la autenticación de dos factores constituye una capa de protección adicional. El código de autenticación enviado al móvil es la última barrera, y no debe ingresarse en un sitio abierto a través de un QR a menos que el usuario haya iniciado la acción en un sitio conocido y seguro.

Aspecto legal: resumen de la gestión frente a entidades de pago

Durante los años de trabajo profesional, surgen muchos casos de víctimas que sienten incomodidad. Es importante entender que se trata de la actividad de elementos delictivos sofisticados.

Desde el punto de vista legal, se debe prestar atención a los siguientes puntos:

• Deber de información: Tras el descubrimiento del fraude, se debe notificar sin demora a la entidad emisora de la tarjeta de crédito o al banco. Una notificación temprana puede reducir la responsabilidad del cliente.
• Examen del derecho a reembolso: De acuerdo con la ley, en casos de uso no autorizado, existe un marco que permite exigir la restitución de los importes de las transacciones, sujeto al examen de las circunstancias del evento por parte de la entidad pagadora.
• Carga de la prueba: La carga de probar la "negligencia grave" recae a menudo en la entidad de pago. No basta con el simple hecho de realizar el escaneo para establecer este argumento.

Señales de advertencia (Red Flags)

• El código parece una pegatina pegada sobre un letrero existente, una instalación de estacionamiento o un menú.
• El escaneo conduce a una página que solicita urgentemente ingresar detalles de tarjeta de crédito o información personal sensible.
• La dirección del sitio web no coincide con el sitio oficial del organismo relevante.
• El código llegó como parte de un contacto físico inesperado en el buzón.
• El escaneo hace que el dispositivo solicite permisos de acceso poco habituales a contactos o mensajes.

Qué hacer inmediatamente (pasos de emergencia)

1. Bloqueo de medios de pago: Contacto inmediato con la entidad emisora o el banco para cancelar o congelar la tarjeta cuyos datos fueron expuestos.
2. Documentación: Fotografía del código físico y su ubicación, así como una captura de pantalla de la dirección del sitio que se abrió.
3. Cambio de contraseñas: Si se ingresaron datos de identificación, se deben cambiar las contraseñas en las cuentas relevantes de inmediato.
4. Denuncia ante las autoridades: Presentación de una denuncia ante la policía. Esta acción es vital para hacer valer los derechos frente a las entidades de pago.
5. Revisión de seguridad del dispositivo: Si se descargó un archivo, se recomienda realizar un análisis de malware profesional en el dispositivo móvil.

Aspecto legal – Resumen

La Ley de Servicios de Pago de 2019 constituye la infraestructura para la protección del consumidor en estos casos. En situaciones de fraude por QR, es posible examinar la limitación de la responsabilidad del cliente. Dado que las entidades de pago pueden a veces examinar la responsabilidad de manera restrictiva, se recomienda en casos de daño significativo examinar las opciones legales disponibles para el consumidor. Si bien la tecnología cambia, los principios de protección al consumidor están destinados a brindar una respuesta en situaciones en las que una persona es dañada por actos fraudulentos sofisticados.