Els dominis de phishing més abusats són generadors QR

Aquesta troballa converteix l’argument d’aquest article d’opinió en evidència. El quishing —phishing distribuït mitjançant codis QR— funciona perquè un quadrat imprès no es pot llegir a simple vista. Però *s’escala* perquè les empreses legítimes han passat una dècada ensenyant al públic que escanejar un domini curt desconegut és normal.

La telemetria de la Unitat 42 del febrer de 2026 calcula més d’11.000 deteccions diàries de codis QR maliciosos, amb un augment del 55% del trànsit a través d’escurçadors de QR entre la primera meitat de 2023 i la primera meitat de 2024, i un 44% addicional fins a la primera meitat de 2025. Tant l’FBI com la FTC han emès avisos públics: el Internet Crime Complaint Center va publicar el comunicat PSA 220118 sobre criminals que manipulen codis per robar fons i credencials, i el juliol de 2025 va publicar informació addicional sobre paquets no sol·licitats que contenien codis QR, mentre que la FTC ha advertit que els estafadors cobreixen codis legítims amb els seus propis adhesius, i ha esmentat específicament els parquímetres.

Per què no es pot comprovar un codi QR abans d’escanejar-lo?

S’ha ensenyat a la gent, amb un cert èxit, a inspeccionar un enllaç abans de fer-hi clic: passar-hi el cursor, llegir el domini i buscar-hi errors ortogràfics. Aquesta defensa depèn de poder veure l’URL.

Un codi QR la inutilitza. La destinació està codificada en un patró que cap persona pot desxifrar a simple vista. No hi ha cap cursor a passar-hi per sobre. Apuntes una càmera a un quadrat i alguna cosa s’obre o no. L’únic moment possible de defensa és la previsualització que alguns escàners mostren abans —i, en una pantalla petita i amb presses, aquesta previsualització és una cadena truncada que la majoria de la gent no llegeix.

Com són els principals atacs?

El NCSC ho assenyala explícitament en relació amb el correu electrònic: no totes les eines de seguretat analitzen les imatges, de manera que un codi QR que apunta a un lloc maliciós pot travessar filtres que haurien detectat el mateix enllaç com a text —i els usuaris tendeixen a escanejar-lo amb un telèfon personal que no té les proteccions d’un ordinador gestionat per l’empresa. La nostra pàgina sobre codis QR de Wi-Fi explica aquest format de càrrega; saber quin aspecte té és el que permet comprovar-lo.

Com van eliminar les redireccions l’última defensa?

Suposem que totes les empreses legítimes fessin servir codis estàtics que codifiquessin el seu propi domini. La previsualització de l’escàner mostraria restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Reconeixibles. Una previsualització que mostrés x7q-cdn.click/8Hf2 destacaria com a òbviament incorrecta, perquè seria diferent de tots els codis legítims que aquella persona hagués escanejat mai.

Aquest no és el món que tenim. Una quantitat enorme de codis legítims —de restaurants, botigues, museus, operadors de transport i fins i tot organismes governamentals— es resolen mitjançant dominis curts de tercers que no signifiquen res per a la persona que els escaneja. La conseqüència és directa: un domini desconegut en una previsualització QR ja no indica res. S’ha ensenyat a la gent a passar-hi per alt, centenars de vegades, sense patir cap perjudici.

La Unitat 42 exposa el resultat sense embuts: «Fins i tot les persones conscienciades amb la seguretat que comproven la previsualització de l’URL abans d’escanejar no poden determinar la destinació final quan se’ls presenten enllaços escurçats». La indústria de les redireccions no va inventar el quishing. Va eliminar l’única heurística que la gent normal tenia contra aquest fenomen —el mecanisme es descriu a segrest de redireccions.

Tres efectes secundaris

• Ocultació. Una redirecció pot oferir destinacions diferents a visitants diferents: contingut segur a un investigador i la càrrega real a un telèfon de la ciutat objectiu. Un codi estàtic no pot fer-ho; la seva càrrega és fixa i idèntica per a tothom.
• Activació retardada. Un codi pot apuntar durant setmanes a un lloc inofensiu, superar una revisió i canviar-se després. Aquesta és la mateixa possibilitat d’edició que la indústria ven com una funció.
• Blanqueig de reputació. Un domini d’escurçament reconegut dona legitimitat a allò que redirigeix.

Com et pots protegir quan escaneges?

1. Llegeix el domini a la previsualització. Si el teu escàner no en mostra cap, fes servir-ne un que sí que ho faci. El NCSC recomana l’escàner integrat al telèfon en lloc d’una aplicació d’una botiga.
2. Tracta qualsevol codi d’un enviament postal o correu electrònic no sol·licitat com una amenaça. Les organitzacions legítimes poques vegades necessiten que escanegis un quadrat imprès per resoldre un problema urgent del compte —els dos avisos anteriors de l’FBI tracten exactament aquesta situació.
3. Comprova físicament els adhesius. Intenta aixecar-ne una vora. Un adhesiu sobre un altre és la configuració de quishing més habitual, i es pot detectar amb la punta dels dits.
4. No introdueixis mai dades de pagament en una pàgina a la qual hagis arribat escanejant. Ves tu mateix al servei, escrivint l’adreça o obrint l’aplicació.
5. Descodifica en lloc d’escanejar quan no n’estiguis segur. Fotografia el codi i llegeix-ne la càrrega a la nostra pàgina de descodificació sense obrir res.

I si ja has escanejat un codi maliciós?

Escanejar, per si sol, gairebé mai compromet un telèfon. El que importa és què ha passat després, així que fes el triatge en funció d’això.

1. Si només has vist una pàgina i l’has tancada, és molt probable que estiguis bé. Anota el domini per si l’has de denunciar i continua endavant.
2. Si hi has introduït una contrasenya, canvia-la immediatament al lloc real i canvia-la allà on l’hagis reutilitzada. Activa l’autenticació multifactor mentre hi ets.
3. Si hi has introduït dades de la targeta, truca ara al banc o congela la targeta a l’aplicació bancària, abans de comprovar qualsevol altra cosa. Denuncia-ho com una pàgina fraudulenta, no com una compra impugnada.
4. Si has instal·lat alguna cosa, desinstal·la-la i revisa els permisos de l’aplicació i qualsevol autorització d’administrador del dispositiu o d’accessibilitat que hagi pogut sol·licitar. En la majoria dels casos mòbils, aquestes autoritzacions són la càrrega maliciosa.
5. Si t’has connectat a una xarxa Wi-Fi mitjançant un codi, oblida la xarxa i dona per fet que qualsevol cosa que hi enviessis mentre hi estaves connectat podia ser observada.
6. Denuncia-ho. Als EUA, l’IC3 de l’FBI accepta denúncies i la FTC rep reclamacions dels consumidors; al Regne Unit, Action Fraud. Si el codi era un adhesiu en una infraestructura pública, informa també qui n’és el propietari: una autoritat d’aparcament no pot retirar un adhesiu superposat que desconeix.

Una cosa que no has de fer: donar per fet que ha estat culpa teva per haver escanejat. Tant l’FBI com la FTC han emès avisos públics precisament perquè, per disseny, aquests codis no es poden distingir dels legítims.

Com pots protegir els teus clients si tens una empresa?

Si imprimeixes codis QR, les teves decisions determinen si els teus clients es poden defensar o no.

1. Fes servir codis estàtics que codifiquin el teu propi domini. La previsualització mostrarà el teu nom, que és l’únic senyal de verificació disponible en el moment de l’escaneig. És el canvi amb més impacte que tens a l’abast.
2. Imprimeix l’URL amb text llegible al costat del codi. Ofereix a la gent una via que no requereix escanejar i alguna cosa amb què comparar-lo.
3. Inspecciona periòdicament els teus codis físics. Els adhesius superposats només funcionen mentre ningú no els comprova.
4. No facis passar mai els clients per un domini que no porti el teu nom. Els ensenya que les destinacions opaques són acceptables i t’impedeix descriure quin aspecte té un codi legítim teu.

Hi ha una coincidència útil: l’opció que et protegeix del segrest de subscripcions és la mateixa que protegeix els teus clients del phishing.

Genera un codi estàtic que mostri el teu propi domini a la previsualització: codi QR d’URL. Per ampliar la informació: la veritat sobre les estafes amb codis QR.