Los delincuentes descubrieron que un simple aviso de entrega puede convertirse en la puerta de entrada perfecta para robar datos personales y bancarios. La modalidad, conocida como “delivery falso”, combina un mensaje urgente con un código QR que redirige a páginas fraudulentas. La táctica, cada vez más extendida, también alcanzó a comercios y restaurantes, según alertó recientemente la Guardia Civil de España.
El fraude se inscribe dentro de lo que los especialistas denominan QRishing, una variante del phishing tradicional que reemplaza el enlace clásico por un código escaneable, más difícil de identificar a simple vista para el usuario común.
Cómo funciona el ataque del delivery falso
El engaño comienza con un SMS o un mensaje de WhatsApp que simula proceder de una empresa de envíos real. El texto advierte que un pedido no pudo entregarse o que es necesario confirmar la dirección para recibirlo.
El QRishing es una variante del phishing que utiliza códigos QR en lugar de enlaces tradicionales para engañar a los usuarios. En el caso del delivery falso, el mensaje simula ser de una empresa de envíos y conduce, mediante un QR o un enlace, a una página que imita el sitio real de la compañía.
Para resolver el supuesto inconveniente, el mensaje incluye un código QR o un enlace. Al utilizarlo, la víctima llega a una página que copia el diseño de una empresa de logística conocida, lo que refuerza la sensación de legitimidad.
El tono de urgencia es central en la maniobra: frases como “tu pedido no pudo ser entregado” o “confirma tu dirección para recibir el paquete” buscan que la persona actúe rápido y sin verificar la fuente del mensaje.
Qué datos buscan obtener los delincuentes
Una vez que la víctima ingresa a la página falsa, se le solicitan datos personales como nombre completo, dirección y documento de identidad. En muchos casos, el formulario avanza hasta pedir directamente el número de tarjeta de crédito o débito.
La excusa habitual es el cobro de un supuesto costo de reenvío, entrega o gastos de aduana. También se piden datos bancarios bajo el argumento de “verificar un pago”.
Con esa información, los estafadores pueden realizar compras no autorizadas, vaciar cuentas bancarias o vender los datos a terceros. En algunos casos, el propio código QR instala una aplicación maliciosa que otorga acceso remoto al dispositivo de la víctima.
El riesgo también llega a los menús de restaurantes
La modalidad no se limita a los envíos. La Guardia Civil española advirtió sobre otra variante: la sustitución de los códigos QR que muchos locales gastronómicos utilizan para mostrar su carta digital.
“Te sientas en una terraza. Escaneas el QR de la mesa para ver la carta y... Un momento”, planteó la fuerza de seguridad al describir el riesgo. Los delincuentes colocan una pegatina con un código adulterado sobre el original, de modo que el cliente termina en una página fraudulenta sin advertirlo.
La Guardia Civil resumió el riesgo con una frase directa: “Hasta una carta puede venir con ‘ingredientes’ que no habías pedido”.
Señales para identificar un mensaje fraudulento
Ninguna empresa de envíos calificada solicita datos de tarjeta por SMS o WhatsApp para “liberar” un paquete. Los errores de ortografía, los números de origen que no corresponden a líneas corporativas y la insistencia en actuar de inmediato son señales claras de alerta.
Ante cualquier QR, sea de un paquete o de una mesa de restaurante, conviene revisar que no haya sido reemplazado por una pegatina u otro método de sustitución, y comprobar la dirección web a la que redirige antes de ingresar cualquier dato.
La recomendación central es no acceder el enlace ni escanear el QR y, en cambio, ingresar directamente a la aplicación o el sitio oficial de la empresa de envíos para verificar el estado del pedido con el número de seguimiento correspondiente.
Si ya se cargaron datos en una página falsa, el primer paso es contactar al banco para bloquear la tarjeta utilizada. A esto debe sumarse el cambio de contraseñas de las cuentas comprometidas y la revisión de los movimientos recientes para detectar operaciones no reconocidas.
Reportar de inmediato cualquier movimiento sospechoso a la entidad financiera y denunciar el número o mensaje recibido ayuda a que las autoridades y las empresas de telecomunicaciones identifiquen y bloqueen estos patrones de fraude con mayor rapidez.
