Quishing: com detectar codis QR maliciosos i protegir-te

El terme "quishing" combina QR i phishing i descriu un atac en el qual un delinqüent col·loca un codi QR maliciós per redirigir la víctima a una pàgina fraudulenta. A diferència dels enllaços de phishing clàssics que arriben per correu electrònic i que els filtres antispam aprenen a detectar, el QR és opac: no pots llegir el contingut d'un codi QR amb la vista, i molts filtres de seguretat no l'analitzen.

El quishing creix de manera accelerada perquè aprofita la confiança que els usuaris han desenvolupat envers els codis QR des de la pandèmia: els restaurants, els museus, les administracions i els comerços ens han entrenat a escanejar sense qüestionar.

Com funciona un atac de quishing

Un atac típic segueix aquest patró:

1. Distribució del QR maliciós: l'atacant imprimeix una etiqueta adhesiva amb un QR fraudulent i la col·loca sobre el QR legítim d'un cartell, un parquímetre, una recàrrega de vehicle elèctric, un restaurant o un banc. En altres casos, el QR arriba per correu electrònic, per SMS o per WhatsApp.
2. Escaneig per part de la víctima: l'usuari escaneja el QR sense sospitar res. La URL pot semblar legítima a primera vista o pot ser un acurtador d'URL que amaga la destinació real.
3. Pàgina fraudulenta: la pàgina imita un lloc de confiança — el portal de Bizum, la pàgina d'inici de sessió d'un banc, el formulari de pagament de la DGT o la suposada pàgina de descomptes d'El Corte Inglés.
4. Robatori de dades: la víctima introdueix les credencials, el número de targeta o les dades personals, que van directament a mans del delinqüent.

Exemples reals de quishing a Espanya

Parquímetres i zones de pagament de zona blava

Diverses ciutats espanyoles han detectat adhesius QR maliciosos sobre els codis oficials dels parquímetres. La pàgina falsa imita el sistema de pagament municipal i demana les dades de la targeta bancària. El pagament mai no es fa al municipi — les dades van a l'atacant.

Multes de trànsit falses

La Guàrdia Civil i la Policia Nacional han alertat sobre notificacions en paper deixades als parabrises que imiten una multa de la DGT amb un QR per "pagar en línia amb descompte". La pàgina clonada recull les dades de la targeta.

Correus electrònics corporatius

Les empreses reben correus que semblen provenir de Hisenda, de Correus o d'una entitat bancària, amb un QR al cos del missatge en lloc d'un hipervincle. L'objectiu és evitar els filtres antiphishing que analitzen URLs textuals.

Cartells en espais públics

En centres comercials, aeroports o estacions de tren, cartells que prometen Wi-Fi gratuït, descomptes o sorteigs amb un QR al centre. L'escaneig porta a un formulari que demana el correu, el telèfon i, en alguns casos, les dades de pagament per "activar l'oferta".

Com detectar un codi QR maliciós

Antes d'escanejar: observació física

• Comprova si hi ha una etiqueta adhesiva sobre el QR original: si el codi QR sembla enganxat per sobre d'un altre, desconfia. Els QR legítims formen part de la impressió original del cartell o del document.
• Analitza el context: un QR en un cartell fet a mà, en un full volant sense referències clares o al costat d'una oferta massa bona per ser veritat és un senyal d'alarma.
• Fixa't en la qualitat d'impressió: els QR fraudulents sovint s'imprimeixen a baixa resolució o amb contorns borrosos.

Despres d'escanejar: revisa la URL abans d'actuar

• No actuïs de manera automàtica: quan el mòbil mostra l'URL obtinguda del QR, llegeix-la abans de tocar "Obre".
• Comprova el domini: banco-sabadell-seguro.com no és el domini real del Banc Sabadell. El domini legítim sol ser curt i sense guions innecessaris.
• Desconfia dels acurtadors d'URL (bit.ly, tinyurl, cutt.ly) en contextos de pagament o autenticació. Un QR legítim d'un banc o d'una administració pública mai no usa acurtadors.
• Comprova el certificat HTTPS: un cany de URL que comenci per http:// sense la "s" no és xifrat. Però compte: un lloc fraudulent pot tenir HTTPS vàlid — el certificat no garanteix la legitimitat del propietari.

Senyals d'alarma a la pàgina de destí

• La pàgina demana dades que no haurien de ser necessàries per al servei (número de targeta per "activar Wi-Fi", DNI per "verificar el compte", PIN bancari per "confirmar la identitat").
• El disseny no coincideix exactament amb el que coneixes del servei real (logotips distorsionats, tipografia incorrecta, textos en castellà quan el servei és en anglès o viceversa).
• L'adreça del navegador canvia després de la càrrega (redirecció a un domini diferent del que mostrava el QR).

Bones pràctiques de seguretat amb codis QR

Per a usuaris particulars

1. Usa un lector QR que mostri l'URL abans d'obrir-la: la càmera nativa d'iOS i Android sol mostrar un avís amb el domini. Llegeix-lo sempre.
2. No introdueixis dades sensibles si no has verificat el domini: si tens cap dubte, obre el lloc directament escrivint l'adreça oficial al navegador.
3. Mantén el sistema operatiu actualitzat: les actualitzacions de seguretat corregeixen vulnerabilitats que els atacants podrien aprofitar si el mòbil obre un contingut maliciós.
4. Activa l'autenticació de dos factors (2FA) als teus serveis importants: fins i tot si un atacant obté les teves credencials, el 2FA impedeix l'accés sense el segon factor.
5. Informa les autoritats: si detectes un QR maliciós en un espai públic, avisa l'establiment o el propietari de l'espai i, si implica una possible estafa, denuncia-ho a la Policia Nacional o a la Guàrdia Civil.

Per a empreses que publiquen codis QR

1. Usa nivells de laminat o protecció física per als QR en espais públics: un acabat de vernís UV o una làmina de plàstic sobre el QR fa que sigui evident quan algú hi ha col·locat un adhesiu.
2. Fes revisions periòdiques dels QR físics: comprova que els codis dels teus locals, menús, cartells i rètols porten a les pàgines correctes.
3. Usa dominis recognoscibles: evita acurtadors i usa sempre el teu domini propi. reserva.elteuestaurant.cat genera més confiança que bit.ly/xyz123.
4. Comunica als teus clients les pàgines oficials perquè puguin verificar si el QR porta al lloc correcte.
5. Genera els teus codis QR amb eines de confiança que no emmagatzemin les teves URL: QRcito processa tot al navegador sense enviar res a servidors externs, de manera que les teves URL de negoci queden privades.

Quishing vs. phishing clàssic: per què és més perillós

El quishing és especialment eficaç perquè l'acció de "escanejar i esperar" és automàtica per a molts usuaris, que arriben a la pàgina fraudulenta sense haver tingut un moment de reflexió comparable al que ofereix llegir un text.

Resum de mesures preventives

• Revisa físicament el QR abans d'escanejar: comprova que no hi hagi adhesius.
• Llegeix sempre l'URL que mostra el mòbil abans d'obrir la pàgina.
• Desconfia de peticions de dades sensibles a través de QR.
• Activa el 2FA en tots els serveis crítics.
• Si tens un negoci, genera els teus QR amb eines privades com qrcito.com/ca/ i revisa periòdicament els codis físics als teus locals.

La conscienciació és la millor defensa. Comparteix aquest article amb les persones del teu entorn que usen codis QR amb freqüència — prevenir un atac de quishing és tan senzill com llegir l'URL un segon abans d'actuar.