Pagar con QR. Recaudos y consejos para evitarse disgustos y complicaciones

Aunque son confiables y prácticos, los delincuentes ya los usan para estafar; un clásico: pegar un código malicioso sobre el genuino

22 de enero de 2022
4 minutos de lectura'

La pandemia y las vacaciones incrementan las transacciones contactlessSHUTTERSTOCK - Shutterstock

Una encuesta que realizó la firma de seguridad ESET en 2021 reveló que el 35% de los usuarios se siente seguro utilizando el sistema de escaneo de códigos QR, mientras que un 44% considera que pueden ser fácilmente alterado. “Si bien sigue existiendo esta desconfianza por parte de algunos usuarios, según el Banco Central de la República Argentina, durante agosto de 2021, se informó que en relación al mismo mes del año anterior los pagos con transferencia se incrementaron un 197,2 por ciento”, dice Sol González, Security Researcher de ESET.

Al abonar mediante QR con ciertas aplicaciones de pago, la experta aclara: “Para sorpresa de muchos, son más seguros que, por ejemplo, una tarjeta de débito o crédito de plástico, ya que se realizan a través de aplicaciones que utilizan tecnologías antifraude. Además, los dispositivos cuentan con diversas capas de seguridad adicionales”. Pero si el móvil es robado o perdido estamos en problema, si no cuenta con bloqueo por contraseña o PIN.

Pero el bloqueo ya es práctica común, y desde Mercado Pago observan que entre las millones de transacciones que se realizan, no tienen registrado ningún reclamo o denuncia por fraude con QR.

Pero siempre hay un pero: los QR en restaurantes, museos o cualquier lugar en el que se utilice como reemplazo de información impresa. La firma de seguridad Kaspersky destaca que el QR creado por cibercriminales podría dirigir al usuario a un sitio de phishing que se parezca a la página de inicio de sesión de una red social o un banco. “Por eso siempre recomendamos revisar los enlaces antes de seguirlos. Además, es común que los atacantes utilicen enlaces acortados, por lo que es más difícil detectar uno falso cuando el smartphone solicita la confirmación”, explican.

Así hacen trampa

Además, un QR puede incluir un comando para realizar ciertas acciones. “El denominador común es la automatización de acciones cotidianas. Por ejemplo, con un QR es posible agregar información de contacto de una tarjeta de negocios, pagar el estacionamiento u otorgar acceso a una red de wifi para invitados. Es por esto que son campo fértil para la manipulación. Por ejemplo, los defraudadores podrían agregar tu información de contacto en tu libreta de contactos con el nombre Banco para ganar credibilidad en una llamada para intentar estafarte, hacer una llamada por cobrar a tu cargo o saber que no estás en tu casa”, agregan desde Kaspersky.

Los delincuentes pueden, por ejemplo, colocar un QR con un enlace web, en un banner, en un correo electrónico o incluso en un anuncio en papel. En general, el objetivo es que la víctima descargue una aplicación maliciosa. En muchos casos, añaden los logos de Google Play y App Store, para darles mayor credibilidad.

También está la sustitución, es decir, que reemplacen un código QR real por uno malicioso. Por este motivo, los usuarios deben fijarse si el código QR que están por escanear está pegado por encima de otro, que sería el verdadero.

Santiago Pontiroli, de Kaspersky aconseja: “No hay que escanear códigos QR de fuentes sospechosas obvias. También hay que prestar atención a la URL; en un QR no hay razón como para acortar enlaces. En su lugar, utilizá un motor de búsqueda o tienda oficial para encontrar lo que estés buscando. Además, como los QR incluyen información valiosa, como números de boletos electrónicos, no hay que publicar documentos con códigos QR en las redes sociales”.

“Los dispositivos Android y los de Apple son compatibles con las funciones Encuentra mi teléfono, que permiten desactivar el teléfono de forma remota, en el caso de haya un extravió o hurto, de esta manera posibilita al usuario borrar sus datos de forma remota”, recomienda González.

La mayoría de las aplicaciones de pago, que posibilitan el pago a través de códigos QR, también permiten activar funciones de seguridad adicionales, como la autenticación de múltiple factor. También los usuarios, pueden bloquear las aplicaciones con medidas de seguridad adicionales, como bloqueos biométricos y de código, y habilitar estas funciones también para las transacciones. Mejor prevenir.

“También deben activar las notificaciones cada vez que se realiza una transacción o pago. De esta manera, si se produce una actividad sospechosa recibirán una alerta casi en tiempo real”, concluye González.

Por Débora Slotnisky