QRishing en Mallorca: Cómo un código QR aparentemente inofensivo espía su teléfono

QRishing en Mallorca: Cómo un código QR aparentemente inofensivo espía su teléfono

Por qué un breve escaneo en Palma o en la playa puede volverse caro

Pregunta principal: ¿Cómo reconocen los viajeros y los residentes en Mallorca un código QR manipulado y qué hacer si realmente se filtran datos o se instala software malicioso en el smartphone?

Una mañana de principios de mayo en Palma: motos de reparto zumban por el Passeig del Born, un café en la Plaça Weyler se llena y, en la esquina de la Carrer Sant Miquel, hay un brillante código QR en un menú turístico. La costumbre hace que muchos clientes simplemente escaneen: más rápido que esperar a la camarera, más rápido que anotar el pedido. Es precisamente esta rutina la que explotan los estafadores, como en Estafa en Palma: códigos QR falsos en parquímetros del puerto.

El método que actualmente ha provocado alertas de la policía española se llama QRishing; técnicamente suele ser sencillo: una pegatina falsa sustituye a un código legítimo, se coloca un adhesivo en lugares muy transitados o un SMS/correo contiene un enlace en forma de código QR. El objetivo siempre es el mismo: mostrar al usuario una interfaz web aparentemente fiable para obtener credenciales, datos de tarjeta o la aprobación para instalar software malicioso. Estas prácticas han motivado avisos públicos de la Policía Nacional.

Análisis crítico: el QRishing funciona no porque se usen herramientas de hacking sofisticadas, sino porque las personas actúan deprisa en situaciones cotidianas y pasan por alto pequeñas señales. Una pegatina criminal en un parquímetro o en un kiosco de playa se propaga con más facilidad cuando no hay controles visibles. A nivel municipal a menudo falta conciencia sobre lo fácil que es manipular la infraestructura pública. Al mismo tiempo, la digitalización induce a restauradores y organizadores a una especie de despreocupación: ¿menú QR? No hay problema. Así la responsabilidad por la seguridad se traslada inevitablemente del operador al cliente; casos recientes muestran cómo pegatinas QR falsas en parquímetros de Palma facilitan el fraude.

Lo que en el debate público se ha quedado corto: responsabilidades claras y prevención visible. No basta con advertir sobre la técnica. Los ayuntamientos deberían realizar controles regulares de los elementos QR públicos y obligar a los operadores de parquímetros, estaciones de carga o kioscos de playa a usar sellos antifalsificación. Por ahora la concienciación recae a menudo en las comisarías; sin embargo, señales informativas más visibles en lugares de mucha afluencia evitarían muchos errores.

Ejemplo cotidiano en Mallorca: en un parquímetro de Port de Sóller, vecinos han encontrado una pegatina adicional de papel que promocionaba un servicio de pago ajeno. Quien introduce su tarjeta rápidamente piensa que está pagando, pero en realidad entrega sus datos a terceros. La experiencia demuestra que no solo los turistas son víctimas; los residentes que repiten las mismas rutinas diarias también pueden caer fácilmente en la trampa, de forma similar a otras estafas como la estafa telefónica por llamada.

Medidas de protección concretas que ayudan de inmediato: 1) No escanee a ciegas: examine críticamente un código QR, especialmente si está en una pegatina de papel o aparece torcido. 2) Verifique el enlace: las apps de cámara modernas muestran la URL antes de cargar la página — revise la dominio con atención. 3) Nunca introduzca datos bancarios: los proveedores serios raramente piden datos de pago mediante enlaces QR improvisados. 4) Active la autenticación de dos factores: si roban credenciales, el acceso suele quedar protegido. 5) Software de seguridad y actualizaciones del sistema: mantenga su teléfono al día y, si sospecha, escanéelo con una herramienta móvil o llévelo a un servicio técnico. 6) Use tarjetas virtuales o números de un solo uso: muchos bancos ofrecen números temporales para pagos online — ideales en situaciones inseguras.

Para empresas y autoridades también hay pasos concretos posibles: identificar claramente los códigos QR oficiales, controles regulares por parte del ayuntamiento o la Guardia Civil y formación del personal de hostelería para que notifiquen cambios sospechosos de inmediato. A nivel local podrían distribuirse folletos informativos en varios idiomas en oficinas de turismo y aparcamientos — la prevención simple y directa suele ser más eficaz que las advertencias abstractas.

Qué hacer si cree que ha sido víctima: actúe con rapidez. Cancele pagos, informe de inmediato a su banco y bloquee las tarjetas afectadas. Cambie las contraseñas de cuentas importantes y active, cuando sea posible, mecanismos de bloqueo. Documente el punto manipulado (foto del código QR, lugar y hora) y presente denuncia ante la Policía Nacional o la Guardia Civil; además existen canales de notificación en organismos españoles de ciberseguridad como INCIBE que recogen estos incidentes. Cada denuncia ayuda a detectar patrones y a desarticular redes de delincuentes.

Conclusión contundente: los códigos QR son prácticos, pero no una invitación a la credulidad. En Mallorca, donde el turismo y los trámites rápidos marcan el ritmo, un momento de despiste puede causar un gran perjuicio. La responsabilidad es compartida: los visitantes deben ser más desconfiados y los establecimientos y municipios deben ser visiblemente más seguros. Quien se mantenga atento y siga reglas de comprobación sencillas dificultará mucho la tarea a los estafadores — y podrá volver a disfrutar de la próxima visita a un café con tranquilidad.