Cómo detectar un código QR falso en un parquímetro o un cargador

Una pegatina encima del código bueno

El truco no necesita tecnología. Alguien imprime un código QR, lo pega encima del auténtico en un parquímetro o en un cartel de pago, y espera. La Comisión Federal de Comercio de Estados Unidos, la FTC, lo describe tal cual: estafadores que tapan los códigos legítimos de los parquímetros con los suyos. El código falso abre una web que imita la página de pago real, y lo que escribas allí, número de tarjeta o contraseña, acaba en manos de los delincuentes. La FTC añade que algunos códigos instalan programas maliciosos.

Los parquímetros son el sitio clásico, pero no el único. Los puntos de carga de coches eléctricos usan códigos QR para iniciar y pagar la recarga, y el ayuntamiento londinense de Wandsworth pide a los conductores que vigilen el fraude con QR en los cargadores públicos. Las mesas de los bares y los carteles son los otros lugares habituales; las cartas de restaurante las tratamos en cartas con código QR en el extranjero.

Por qué de viaje es más fácil picar

En tu ciudad sabes qué app se usa para aparcar. Fuera, no. La máquina está en otro idioma, quizá no acepta tu tarjeta, el cartel de al lado te dice que escanees un código y hay gente esperando detrás. Un código falso vive justo de esa mezcla de prisa y desconocimiento.

El coche de alquiler añade otra capa. Aparcas en sitios donde nunca has estado, muchas veces en zonas turísticas, que es donde la estafa rinde más, y la primera página de pago que ves es la que das por oficial. Si el coche es eléctrico, entran también los cargadores, cada red con su forma de pagar.

Nada de esto obliga a evitar los códigos QR. Obliga a tratar un código pegado en la calle como un enlace que te pasa un desconocido: algo que se comprueba antes de abrir, no algo de fiar por estar en una máquina con pinta oficial.

Qué mirar antes de escanear

• La pegatina. La Policía Nacional ha difundido un vídeo de un código falso pegado sobre el real en un parquímetro y recomienda observar el código con atención para encontrar señales de manipulación, como esquinas deterioradas o una ligera inclinación.
• La dirección. La FTC aconseja revisar la URL antes de abrirla y buscar faltas o letras cambiadas. El móvil te la enseña antes de cargar la página.
• El dominio. Debe ser del operador del aparcamiento, del ayuntamiento o de la red de carga, no un nombre que no has visto nunca.
• Lo que te pide. Una página de aparcamiento que te pide descargar una app o mucho más que la tarjeta es una señal de alarma.

Si algo no cuadra, no lo escanees. El consejo de la Policía en ese caso es buscar tú la app en la tienda de aplicaciones del móvil.

Formas más seguras de pagar el aparcamiento o la recarga

Lo más fiable es la propia máquina: monedas o tarjeta en el parquímetro, o el lector de tarjetas o la pantalla del cargador si los tiene. Nada pasa por una web que no puedes comprobar.

Lo segundo es la app del operador, buscada por su nombre en la App Store o en Google Play, no a través del código. La FTC da la regla general: si dudas, contacta con la empresa por un teléfono o una web que sepas que son reales. Para aparcar, el nombre del operador o del servicio municipal suele venir en la máquina o en las señales, y eso es lo que hay que buscar.

Déjalo preparado antes de necesitarlo. Si sabes que vas a aparcar en una ciudad concreta, descarga su app de aparcamiento en casa, con wifi. Nuestra guía para usar el móvil como GPS en un coche de alquiler cubre el resto de la preparación al volante.

Códigos que llegan por mensaje

La misma estafa llega también sin pegatina. La FTC avisa de los códigos QR en correos y SMS que no esperabas, con una excusa inventada para escanearlos: un paquete que no se pudo entregar, un problema con una cuenta, actividad sospechosa que obliga a cambiar la contraseña. Su consejo es sencillo: no escanees un código QR de un mensaje que no esperabas, sobre todo si te mete prisa.

De viaje llegan en el peor momento, mezclados con mensajes reales de aerolíneas, hoteles y empresas de alquiler. Los patrones son los mismos que en los enlaces fraudulentos, y nuestra guía sobre SMS fraudulentos durante el viaje explica cómo comprobarlos sin tocar nada. Un código en un mensaje merece el mismo trato que un enlace: entra tú en la app o la web de la empresa.

Si ya pagaste con un código falso

Llama al banco enseguida desde su app oficial o al número del dorso de la tarjeta y pide que la bloqueen, aunque todavía no veas ningún cargo raro. Si escribiste una contraseña en la página, cámbiala desde un aparato de confianza y activa la verificación en dos pasos.

Guarda pruebas: una foto de la pegatina y de la máquina, capturas de la página y del pago. El INCIBE recomienda contactar con el banco, reunir todas las pruebas posibles y denunciarlo ante la policía; su línea gratuita, el 017, te puede orientar. En Inglaterra, Gales e Irlanda del Norte se denuncia en Report Fraud, el servicio que sustituyó a Action Fraud, en el 0300 123 2040; en Escocia, a Police Scotland en el 101. En Estados Unidos, la FTC recoge denuncias en ReportFraud.ftc.gov.

Avisa también al operador del aparcamiento o al ayuntamiento, para que quiten la pegatina antes de que la escanee el siguiente. Para hacer estas llamadas desde fuera, mantén encendida tu línea de siempre junto a la eSIM solo de datos que uses en el viaje, como las de Snoozim.