Las estafas de ‘quishing’ de códigos QR se multiplicaron por 14 en cinco años. El quishing, o phishing QR, es un tipo de amenaza de ciberseguridad en la que los atacantes crean códigos QR para redirigir a las víctimas a visitar o descargar contenido malicioso.

Un reporte publicado por la BBC de Londres el pasado 11 abril, advierte a diferentes ayuntamientos de las estafas vinculadas sobre códigos QR falsos en los aparcamientos y menús en restaurantes donde se utiliza esta modalidad. Según la información del medio de comunicación londinense, las bandas del crimen organizado están detrás de un fuerte aumento de las estafas vinculadas a códigos QR fraudulentos, dicen los expertos.

El centro nacional de denuncia de fraudes Action Fraud recibió 1.386 informes de personas que fueron blanco de ataques el año pasado,(2024) en comparación con 100 en 2019.

Los puntos de pago sin contacto, como los parquímetros y los menús de los restaurantes, son objetivos comunes de los delincuentes que colocan sus propios códigos QR en la señalización.

Katherine Hart, funcionaria principal del Chartered Trading Standards Institute, afirmó: «Hemos visto enormes pérdidas de esta manera. La gente ha perdido los ahorros de toda su vida y ese dinero se destina a financiar a delincuentes».

Ella dijo que los casos de quishing estaban significativamente subreportados y representaban un «enorme desafío» para las autoridades a nivel mundial.

‘Jerarquía de criminales’
También se han detectado códigos fraudulentos y engañosos en paquetes, correos electrónicos y en la televisión.

Las personas que los escanean usando teléfonos móviles y otros dispositivos electrónicos son dirigidas a sitios web controlados por los estafadores y son engañadas para que entreguen datos como los datos bancarios. Hart dijo que algunos de los que colocan los códigos probablemente estén en la parte inferior de una jerarquía de criminales organizados y tal vez no sean conscientes de las implicaciones de sus acciones.

Las estadísticas de Action Fraud obtenidas por la Unidad de Datos Compartidos de la BBC sugieren un rápido crecimiento de este tipo de estafa, con incidentes registrados que aumentaron más del doble en el Reino Unido entre 2023 y 2024.

En los últimos cinco años, Action Fraud recibió casi 3.000 informes en total, una quinta parte de ellos vinculados al área de la fuerza de la Policía Metropolitana.

Caso emblematico el testimonio de Milton Haworth quien se ha negado a usar otro código QR desde que fue víctima de estafadores. Usó su teléfono móvil para escanear un código QR en un estacionamiento administrado por el ayuntamiento en Castleford, West Yorkshire, (Londres). Le pidieron que descargara una aplicación no autorizada, de la cual aceptó pagar 90 peniques para verificar sus datos bancarios.

Pero en lugar de pagar para estacionar, se encontró suscrito a un servicio de suscripción con una tarifa anual de £39 y sin reembolsos. «Supuse que había pagado el estacionamiento, pero me di cuenta de que era una estafa cuando al día siguiente vi que habían sacado 39 libras de mi cuenta», dijo.

«El cartel decía que había que usar el código para aparcar y yo nunca había oído hablar de que se usaran códigos QR como estafa».

Haworth atribuye el aumento de casos a que las autoridades «no se lo toman lo suficientemente en serio».

Dijo: «A nadie parece importarle, no parece haber nadie tratando de encontrar a estas personas. «Es responsabilidad de las autoridades perseguirlos, pero no creo que lo hagan porque se trata de pequeñas cantidades sustraídas, no de millones. «Pero si son 39 libras al mes, ¿qué pasa si hay un millón de personas engañadas?»

El uso de los códigos QR tuvo una explosión con la pandemia, en gran parte por su contribución al reducir la necesidad de contacto con superficies que puedan haber sido manipuladas por terceros y de esta manera minimizar los riesgos de contagio.
Actualmente están siendo utilizados en diversos sectores y de distinta manera, por ejemplo, para mostrar el menú de comidas de un restaurante, medios de pago, solicitud de servicios, compartir un contacto, etc.

Sin embargo, como suele suceder con cualquier tecnología que se vuelve popular, también captó la atención de los cibercriminales que los están utilizando con fines maliciosos. ESET, compañía líder en detección proactiva de amenazas, advierte de qué forma pueden ser aprovechados los códigos QR por los estafadores para engañar a sus víctimas.

QR es un acrónimo de Quick Response, en español “respuesta rápida”, son códigos que están diseñados para ser leídos e interpretados rápidamente. En ellos se puede almacenar de forma matricial un máximo de 4296 caracteres alfanuméricos en las versiones más grandes, aunque los de uso público general suelen ser matrices más pequeñas para ser capturadas fácilmente desde la cámara del teléfono.

Los códigos QR poseen una estructura que permite que sean decodificados por aplicaciones que funcionan como lectores utilizando, por ejemplo, la cámara de fotos del teléfono. La acción o el resultado obtenido luego de leer un código QR puede variar y va a depender de la aplicación que esté interactuando con dicho código. A partir de un código QR se puede: abrir una página web, descargar un archivo, agregar un contacto, conectarse a una red Wi-Fi e incluso realizar pagos, entre muchas otras. Los códigos QR son muy versátiles, se pueden personalizar, incluir logotipos e incluso hay versiones dinámicas que permiten cambiar el contenido o acción del QR en cualquier momento.

“Dada la versatilidad de los códigos QR y la gran cantidad de acciones que se pueden realizar, el abanico de posibilidades para un cibercriminal es sumamente amplio. Si a esto le sumamos la cantidad de códigos QR que encontramos en bares, restaurantes, comercios, hoteles, aeropuertos e incluso plataformas de pagos y certificados de salud, la superficie de ataque se amplía aún más.”, menciona Cecilia Pastorino, Investigadora de Seguridad Informática de ESET Latinoamérica. 

Algunos ejemplos de acciones maliciosas que podrían realizar los cibercriminales:

1. Redirigir al usuario a una web maliciosa para robarle información: Al igual que los atacantes emplean técnicas de malvertising o BlackHat SEO para dirigir a sus víctimas a sitios fraudulentos, podrían hacer lo mismo con los códigos QR. Especialmente si estos se encuentran en publicidades en la vía pública o en las áreas de atención al cliente de entidades financieras. Recientemente en Estados Unidos delincuentes colocaron en parquímetros públicos ubicados en distintas ciudades, calcomanías con falsos códigos QR que llevaban a las potenciales víctimas a un falso sitio para supuestamente realizar el pago con el objetivo de robar los datos financieros.

2. Descargar un archivo malicioso en el equipo de la víctima: Muchos bares y restaurantes utilizan códigos QR para que el usuario descargue un archivo PDF con el menú o instalen una aplicación para realizar el pedido. En este y otros contextos similares, un atacante podría fácilmente alterar el código QR para llevar al usuario a descargar un PDF malicioso o llevarlo a instalar una aplicación fraudulenta.

3. Realizar acciones en el dispositivo de la víctima: Los códigos QR pueden generar acciones directamente en el dispositivo lector, estas acciones dependerán de la aplicación que los esté leyendo por lo que hay que prestar atención a las falsas apps de lectores de QR. Sin embargo, existen algunas acciones básicas que cualquier lector QR es capaz de interpretar. Por ejemplo, conectar el dispositivo a una red Wi-Fi, enviar un correo o un SMS con un texto predefinido, o guardar un contacto en el dispositivo. Si bien estas acciones en sí mismas no son maliciosas, podrían ser utilizadas por un atacante para conectar un equipo a una red intervenida, mandar mensajes en nombre de la víctima o agendar un contacto para un posterior engaño.

4. Desviar un pago o realizar solicitudes de dinero: La mayoría de las aplicaciones financieras digitales actuales permiten realizar pagos a través de códigos QR que contienen los datos del receptor del dinero. Muchas tiendas dejan estos códigos a la vista de sus clientes para facilitar la operación. Un atacante podría modificar este QR con sus propios datos y recibir así los cobros en su cuenta. También podría generar códigos con solicitudes de cobro de dinero para engañar a compradores, como le ocurrió a algunos usuarios que denunciaron que fueron estafados con el envío de un falso código QR para realizar un pago.

5. Robar la identidad del usuario o el acceso a una aplicación: Muchos códigos QR se utilizan como un certificado para verificar información de una persona, como el documento de identidad o los pases sanitarios. En estos casos los códigos QR contienen información tan sensible como la que se encuentra en un documento de identidad o historia clínica, la cual un atacante podría obtener fácilmente escaneando el código QR.

Por otro lado, muchas aplicaciones (como WhatsApp, Telegram o Discord) utilizan códigos QR para autenticar la sesión de un usuario y permitirle acceder a su cuenta. Tal como ya ha ocurrido con WhatsApp, los ataques como QRLjacking pueden engañar a un usuario suplantando la identidad de un servicio y provocar que escanee el QR proporcionado por el atacante.

“En la mayoría de los casos identificados, el atacante deberá crear un código QR malicioso que luego reemplazará por el código original para que la víctima escanee. Es decir, que muchos de estos riesgos se basan en la ingeniería social y en lograr engañar a la víctima.”, agrega Pastorino de ESET.

Los consejos para utilizar los códigos QR de forma segura son:

• En el caso de los pagos con QR y operaciones financieras, verificar siempre que la transacción se haya realizado con éxito. Confirmar la operación tanto en el dispositivo del comprador, como en el del vendedor y asegurarse de haber recibido el dinero correctamente.
• Si se tiene códigos QR al alcance del público, comprobar regularmente que no hayan sido adulterados.
• A la hora de generar un código QR utilizar un servicio de confianza para hacerlo. Además, verificar que el QR obtenido por el servicio este correcto y que realiza la acción deseada.
• Deshabilitar la opción de realizar acciones automáticas al leer un código QR, como acceder a un sitio web, descargar un archivo o conectarse a una red Wi-Fi.
• Verificar siempre la acción antes de realizarla. Revisar que la URL sea correcta, que el archivo descargado, los datos obtenidos o la acción realizada sea la esperada.
• No compartir códigos QR con información sensible, tales como los que se utilizan para acceder a aplicaciones o los que se incluyen en documentos y certificados de salud. Evitar sacarle fotos, no compartirlos y almacenarlos de forma segura.
• Por supuesto, mantener siempre los dispositivos protegidos, contar con herramientas de seguridad y actualizar las aplicaciones. De esta forma, le será mucho más difícil a un cibercriminal comprometer la información.

Un interesante análisis del periodista Will Freeman, publicado este sábado en el reconocido diario THE NEW YORK TIMES, presenta desde la perspectiva del autor, la situación que se entrelaza alrededor del imperioso deseo del presidente estadounidense Donald Trump, de retomar el Canal. Sin duda, lectura obligada.

THE NEW YORK TIMES.- 24 DE MAYO DE 2025.

Por: WILL FREEMAN

Panamá es un país pequeño —ni siquiera alcanza el tamaño de Carolina del Sur—, pero es crucial para la economía y la seguridad nacional de Estados Unidos.

Cada año, el 40 por ciento de todo el tráfico de contenedores de Estados Unidos, equivalente a unos 270.000 millones de dólares, cruza el canal de Panamá. También lo hace alrededor del 5 por ciento del comercio marítimo del mundo. En caso de un conflicto entre China y Taiwán, la Armada estadounidense tendría que movilizar con velocidad submarinos y otros buques hacia el Pacífico a través del canal.

Desde diciembre, Donald Trump ha mencionado Panamá en repetidas ocasiones en discursos, entrevistas y publicaciones en Truth Social, amenazando con “recuperar” el canal, que estuvo bajo control estadounidense entre 1914 y 1999. Desde entonces, ha logrado conseguir una serie de concesiones al presidente conservador de Panamá, José Raúl Mulino. 

Entre ellas están el inicio de negociaciones para reembolsar a buques militares de Estados Unidos por el pago de peajes y la aceptación de despliegues rotativos de personal militar estadounidense en bases panameñas. (La última base militar permanente de EE. UU. en Panamá cerró en 1999, una década después de la invasión estadounidense).

Algunas de estas demandas buscan contrarrestar la influencia de China, que ha ganado terreno comercial en Panamá desde que el país rompió relaciones con Taiwán en 2017. En febrero, el secretario de Estado estadounidense, Marco Rubio, visitó Panamá y advirtió a Mulino que la presencia china en el canal podría violar tratados bilaterales. 

Poco después, Panamá anunció su salida de la Iniciativa de la Franja y la Ruta de China, lo que Pekín calificó como resultado de “coacción” estadounidense. Además, el gobierno panameño auditó dos puertos adyacentes al canal operados por empresas chinas, en respuesta a las acusaciones de Trump sobre una presunta interferencia china.

Que Trump esté preocupado por la creciente influencia de China no es en sí irrazonable —también había mucha inquietud durante el gobierno de Joe Biden— pero lo preocupante es que no está claro qué obtiene Panamá a cambio de estas concesiones. Y eso ha generado una ola de indignación entre los panameños, ya de por sí molestos con su gobierno y la clase política de su país.

La exigencia más reciente de Trump —que por ahora Mulino ha rechazado—ha sido que los buques comerciales estadounidenses puedan pasar por el canal sin pagar peajes, lo cual atentaría contra un símbolo nacional y una fuente de entre el 7 y el 10 por ciento del presupuesto de Panamá. 

En respuesta, estudiantes, sindicatos, ambientalistas y grupos indígenas han salido a las calles en protestas que expresan no solo un rechazo a las políticas del gobierno, sino también una percepción cada vez mayor —fundada o no— de que Mulino está cediendo ante Trump en lugar de defender la soberanía nacional.

Tal vez Trump no lo vea así, pero al forzar a Mulino a cumplir con sus exigencias, está debilitando a un gobierno aliado y creando incertidumbre sobre el futuro. La inestabilidad en Panamá —económica, política o social— es un riesgo serio para Estados Unidos. Si el canal se viera comprometido, las consecuencias podrían ser graves.

Como investigador especializado en política latinoamericana, nunca incluí a Panamá entre los países latinoamericanos con riesgo de estallido social. Entre 1970 y 2019, su economía fue una de las de mayor crecimiento per cápita del mundo. La pobreza disminuyó considerablemente en ese periodo. 

Mientras América Latina creció en promedio solo un 0,9 por ciento anual en la última década, Panamá cuadruplicó esa tasa más o menos durante esos años gracias al auge de sectores como las finanzas, la construcción y la inversión privada, además de una gestión eficiente y apolítica del canal tras su transferencia en 1999. 

Tanto empresas panameñas como estadounidenses, especialmente exportadores de energía de Estados Unidos, se beneficiaron de la duplicación de la capacidad del canal para enviar más gas natural a Asia.

Pero en Panamá, los beneficios de todo este crecimiento se distribuyeron de forma muy desigual. En las décadas de 2000 y 2010, el gobierno invirtió menos en educación, como porcentaje del PIB, que el promedio regional. 

Los estudiantes obtuvieron peores resultados en los exámenes estandarizados que muchos compañeros en Latinoamérica, según datos de 2022. Un censo de 2023 reveló que casi un cuarto de las viviendas no tenían acceso las 24 horas a agua potable durante la estación seca. 

También en 2023, la quinta parte de los panameños con mayores ingresos percibía más de la mitad de los ingresos del país. Mientras tanto, la quinta parte con menos ingresos recibía solo el 3,5 por ciento. Los panameños están entre los ciudadanos más desencantados de América Latina con la democracia, los partidos políticos y los servicios públicos.

En octubre de 2023, esa frustración estalló. Protestas masivas paralizaron el país durante 25 días por un controvertido contrato minero. En el fondo, los manifestantes expresaban una profunda desconfianza hacia un gobierno percibido como servil a intereses privados y extranjeros. Hubo al menos cuatro muertos y pérdidas económicas equivalentes al 2,3 por ciento del PIB.

Ahora, ese mismo sentimiento de frustración corre el riesgo de desbordarse, esta vez, alimentado no solo por quejas internas como la corrupción y la desigualdad, sino también por la sensación de que Mulino está dando prioridad al apaciguamiento de Trump sobre los intereses de Panamá. 

En enero, el 51 por ciento de los panameños aprobaba la gestión de Mulino; en marzo, solo el 26 por ciento mantenía esa opinión. En mi reciente visita al país, el descontento era palpable. “Una sola injusticia más podría encender nuevas protestas como las de 2023”, me dijo Alonso Illueca, abogado y académico.

En marzo, Mulino aprobó una legislación controversial que aumenta las cotizaciones al sistema público de pensiones, que enfrentaba una grave crisis de liquidez. 

El 23 de abril, varios sindicatos de docentes de escuelas públicas y un importante sindicato de trabajadores de la construcción iniciaron una huelga, en protesta por los cambios en las pensiones, las medidas para reabrir una polémica mina de cobre y el acuerdo que Mulino firmó con el secretario de Defensa estadounidense, Pete Hegseth, para permitir al personal militar estadounidense situarse en bases alrededor del canal de forma rotatoria.

Incluso dos rivales políticos se unieron a líderes civiles para denunciar públicamente el acuerdo con Estados Unidos. Luego, en mayo, después de que Mulino insinuó que la principal universidad pública era una “guarida de terroristas”, miles de panameños, liderados por estudiantes, salieron a protestar en lo que parecía ser la mayor movilización de este oleada de disturbios hasta la fecha.

Mulino enfrenta ahora presiones del sector privado para reprimir las protestas, especialmente en Bocas del Toro, donde los bloqueos han paralizado la provincia. Ha advertido que “al costo que sea, este país no se va a trancar”. Pero si las protestas se intensifican y su gobierno se debilita, será más difícil contener la influencia china o garantizar el suministro de agua para el canal, cuya susceptibilidad al cambio climático y a la sequía ya han reducido en ocasiones el tráfico del canal y elevado los costos para los exportadores estadounidenses.

Si Trump continúa con su estrategia de presión pública para obtener concesiones, probablemente terminará debilitando al gobierno de Mulino. El miércoles, el embajador de Estados Unidos en Panamá visitó el canal y publicó en X que buscará asegurar el paso gratuito para los buques del gobierno. Un enfoque diplomático más discreto y respetuoso sería mucho más efectivo para proteger los intereses estadounidenses.

Pero Trump ya ha aprendido que las amenazas maximalistas —como la de “retomar el canal”— pueden funcionar, especialmente si van dirigidas a un país pequeño como Panamá y no a Canadá o Dinamarca, aunque la desconfianza de la opinión pública en el gobierno se acentúe con cada exigencia.

Si el objetivo de Trump es retomar totalmente el canal e iniciar una nueva era de expansión territorial estadounidense, un Panamá inestable juega a su favor. Un intento serio de presionar al gobierno panameño —mediante sanciones, aranceles u otras medidas coercitivas— podría incendiar al país. Para Panamá, Estados Unidos y el mundo, este podría ser el mayor riesgo de todos.