Los pagos con códigos QR se extendieron en estacionamientos por su facilidad de uso, pero los estafadores están reemplazando un código legítimo por otro que dirige a una página falsa, donde buscan robar datos personales, información bancaria o realizar cobros de dinero que no corresponden al servicio.
La Comisión Federal de Comercio de Estados Unidos (FTC) advirtió sobre casos en los que delincuentes colocaron sus propias etiquetas sobre códigos QR oficiales. La maniobra forma parte del quishing, una modalidad de phishing que aprovecha esos códigos para llevar a la víctima hacia sitios bajo control de los atacantes.
Qué hacer antes de escanear un código QR con la cámara del celular
Antes de apuntar la cámara del teléfono, conviene observar el parquímetro, la señalización y la etiqueta con el código. Un adhesivo colocado de forma irregular, con bordes levantados, colores distintos o un diseño que no coincide con el resto de la terminal puede indicar que alguien cubrió el código original.
Los atacantes suelen imprimir códigos fraudulentos en carteles, folletos o etiquetas que imitan la apariencia de un servicio real. En un estacionamiento, esa falsificación puede pasar desapercibida porque el conductor busca resolver el pago con rapidez.
Si hay dudas, es preferible utilizar otro método habilitado por el operador, como una aplicación oficial, una máquina de pago o un canal de atención al cliente.
Cómo verificar la dirección web relacionada con el código QR
Muchos teléfonos muestran una vista previa de la dirección web antes de abrirla. Ese paso permite revisar si el dominio pertenece a la empresa que administra el estacionamiento o si presenta errores de ortografía, letras reemplazadas, palabras añadidas o combinaciones extrañas de caracteres.
La FTC sugiere no avanzar si el enlace genera dudas. Una dirección que copia parcialmente el nombre de una compañía puede conducir a una página diseñada para parecer auténtica.
El sitio web puede reproducir logos, colores y formularios del servicio de estacionamiento, aunque su único objetivo sea pedir datos de tarjetas, contraseñas o información de contacto.
Qué pasa si el sitio solicita más información de la necesaria para pagar
El pago de un estacionamiento puede requerir el número de patente, el tiempo de uso y un medio de pago. Una página que pide credenciales de correo, contraseñas bancarias, códigos de verificación o información ajena a la transacción debe generar desconfianza.
Los ataques de quishing suelen seguir una secuencia: el delincuente distribuye un código, atrae a la víctima con la promesa de un servicio o descuento, la redirige a una página falsa y busca que complete un formulario.
En el caso de los estacionamientos, el engaño se apoya en la necesidad inmediata de abonar una tarifa para evitar una multa o poder salir del lugar.
Por qué es importante mantener actualizado el dispositivo
Mantener actualizado el sistema operativo y las aplicaciones del teléfono reduce la exposición a enlaces maliciosos y a fallas de seguridad que pueden aprovechar los delincuentes. Las actualizaciones incluyen correcciones frente a vulnerabilidades conocidas y mejoran las herramientas de detección de sitios sospechosos.
Asimismo, es necesario proteger las cuentas digitales con contraseñas seguras y autenticación de múltiples factores. Esta medida agrega una barrera si una persona introduce por error sus datos en un sitio falso.
Una contraseña distinta para cada servicio evita que una filtración comprometa, al mismo tiempo, el correo, las redes sociales y las aplicaciones financieras.
Qué hacer si ya se escaneó con el celular un código QR sospechoso
Si el código abrió una página dudosa, la primera medida es no continuar con la interacción. No conviene responder mensajes, llamar a números publicados en el sitio ni entregar datos adicionales.
Los estafadores pueden intentar prolongar el contacto para obtener información confidencial o convencer a la víctima de realizar otra transferencia.
Cuando se ingresó un usuario o una contraseña, la FTC aconseja cambiarla de inmediato en esa cuenta y en cualquier otro servicio donde se use la misma clave. Hay que revisar los movimientos de tarjetas de crédito y las cuentas bancarias para detectar cargos desconocidos.
