Ejemplo de QRishing: el código QR falso del estacionamiento
Un sticker con un código QR aparece pegado en un parquímetro o en la entrada de un estacionamiento. Promete pagar rápido y evitar la multa. El código abre una página que pide los datos completos de la tarjeta y, a veces, el código que manda el banco.
¡Evitá la multa! Pagá en 30 segundos (Señal 1)
- Patente
- AB 123 CD
- Tiempo
- 1 hora
- Total
- $ 900
Número de tarjeta · Vencimiento · Código de seguridad · DNI (Señal 4)
Para confirmar, ingresá el código que te envía tu banco por SMS (Señal 5)
Pagar $ 900Cinco señales que delatan el QR falso
Apuro y multa
La amenaza de multa y los «30 segundos» empujan a escanear sin mirar. Un sistema oficial no necesita asustarte para que pagues.
Un sticker pegado encima
Bordes que no coinciden, otra impresión, una burbuja de aire: el código falso suele ir pegado sobre el original o al lado. Si el cartel parece intervenido, no escanees.
Un dominio que no es el oficial
Antes de abrir el enlace, la cámara muestra la dirección. Si no es la del municipio, la de la empresa del estacionamiento o la de la app que usás siempre, cerrá.
Demasiados datos para pagar una hora
Número de tarjeta, vencimiento, código de seguridad y documento juntos, en una página que no conocés, es exactamente lo que se necesita para usar tu tarjeta en otro lado.
Te piden el código del banco
El código que manda el banco autoriza una operación. Si una página de pago te lo pide aparte, puede estar autorizando una compra distinta de la que ves en pantalla.
Qué hacer si lo ves
- No escanees códigos QR pegados en la calle para pagar: usá la app oficial o el medio de pago que ya conocés.
- Si ya escaneaste, leé la dirección antes de abrirla y cerrá si no es la del servicio oficial.
- Avisá al estacionamiento o al municipio para que retiren el sticker.
- Si pasa en el estacionamiento de tu empresa, reportalo a seguridad: puede haber más stickers en la sede.
Si ya cargaste la tarjeta
- Llamá al banco por su número oficial y pedí bloquear la tarjeta.
- Si diste un código de verificación, decilo en esa llamada: puede haber una compra autorizada que no hiciste.
- Revisá los movimientos de los próximos días y desconocé cualquier compra que no reconozcas.
- Si usaste una tarjeta corporativa, avisá a finanzas y a seguridad.
La misma trampa por otros canales
En un correo
El QR llega en un correo «para reactivar la autenticación» o «para ver un documento». El filtro de correo no lo lee como un enlace y quien lo escanea lo abre en su teléfono personal.
En un cartel de la oficina
Un cartel en el comedor o en el ascensor ofrece «el menú de la semana», «el wifi de invitados» o «la encuesta de beneficios» con un QR. El destino pide iniciar sesión con la cuenta de trabajo.
En una factura o en un paquete
Un QR «para seguir el envío» o «para pagar la diferencia» en un papel que llegó a recepción. Vale el mismo control: leer la dirección antes de abrirla.
Preguntas sobre el QRishing
Otros engaños para reconocer
¿Quién en tu equipo escanearía un QR que nadie pidió?
QRishing es un vector nativo de las simulaciones de Whalemate: la campaña pone un QR frente a cada persona y mide quién escanea y quién termina cargando datos. Quien cae recibe un entrenamiento corto sobre esa señal, no un curso genérico.