Una nueva forma de estafa financiera tiene como objetivo desviar los pagos electrónicos de los clientes en detrimento de los vendedores. Según profesionales de riesgos informáticos, se han reportado casos de fraude por sustitución de QR código en Costa de Marfil.
La alerta cobra una actualidad particular mientras circula en las redes sociales un vídeo explicativo, probablemente de origen asiático, que muestra el modus operandi de los delincuentes. Con el fin de preservar la seguridad de las transacciones diarias y concienciar a los actores económicos, Sika finance ha examinado esta amenaza.
Una estafa sencilla, bautizada como ‘'quishing''
‘'Hablamos de quishing, una contracción de QR y phishing. En el caso concreto, se trata de un QR código pegado sobre el verdadero.
También se habla de QR code swapping, de QR code overlay o, en francés, de fraude por sustitución de QR código'', explica un profesional de riesgos informáticos.
Técnicamente, el modus operandi sigue siendo elemental. Los delincuentes imprimen etiquetas adhesivas que pegan sobre los soportes de pago legítimos.
Posteriormente, se dirigen a pequeños comercios callejeros y pegan discretamente, o sustituyen, estos falsos QR códigos sobre los de los comerciantes, a menudo aprovechando un momento de falta de atención o distrayendo al comerciante, por ejemplo durante una llamada telefónica.
Cuando los clientes escanean el QR código mostrado para abonar sus compras, el dinero se transfiere directamente a la cuenta de los estafadores, en lugar de acreditarse al comerciante. Este tipo de manipulación, que consiste en cubrir un código auténtico con una etiqueta fraudulenta, está documentada como una de las principales formas de fraude relacionado con los pagos mediante QR código.
Un responsable de riesgos informáticos confirma la realidad del fenómeno en el terreno: ‘'varias personas han sido víctimas en Abiyán y en el interior del país.''
Una vulnerabilidad primero física
Para los especialistas, la vulnerabilidad no reside principalmente en la tecnología de pago, sino en la gestión del espacio de venta y la vigilancia de los soportes expuestos. Los códigos estáticos impresos y dejados sin control pueden ser sustituidos, lo que crea una oportunidad para los defraudadores.
‘'Esto pertenece más bien a la seguridad física, al igual que el control de acceso requerido para nuestras instalaciones y salas de servidores. La exposición sin vigilancia de las etiquetas crea la oportunidad.
Es muy sencillo: no mostrar su QR código en una zona fuera de nuestro control. Añadir una capa de seguridad al pago mediante QR código alargaría el proceso, cuando es precisamente esta facilidad y simplicidad la que ha favorecido el éxito del pago mediante QR código'', analiza un profesional de la seguridad informática.
Pérdidas inmediatas para las víctimas
Las consecuencias son directas: el cliente paga, pero el comerciante no recibe nada. Los fondos se transfieren a la cuenta del estafador, mientras que el comprador pierde su dinero sin que su factura real sea satisfecha.
El riesgo es aún mayor dado que, una vez validada la transacción, suele ser difícil recuperar los fondos. Las recomendaciones internacionales insisten, por tanto, en la necesidad de verificar la identidad del beneficiario antes del pago y de confirmar la recepción efectiva de los fondos antes de la entrega del bien o servicio.
Blindar las transacciones Para prevenir estos riesgos, los dispositivos de protección deben adaptarse al nivel de integración del pago en la actividad del comerciante. Para los casos no integrados, un especialista recomienda disponer de una cuenta de comerciante, una cuenta ordinaria y un terminal confiado a la cajera.
Este último reporta instantáneamente los pagos a la cuenta de comerciante: la transacción solo se valida cuando la cajera recibe la confirmación.
Para las estructuras que disponen de sistemas más elaborados, el control debe estar automatizado. Cuando el sistema de pago está interconectado con el del comerciante, un mecanismo de validación (token de transacción o identificador único) debe autenticar cada operación antes de que sea procesada por la cajera.
Sin estos dispositivos, alerta el especialista, el riesgo de fraude y de quishing sigue siendo elevado.
Por otra parte, estas medidas se alinean con las buenas prácticas recomendadas a los comerciantes: inspección regular de los QR códigos, confirmación de los pagos a través de un panel de control de comerciante o una notificación oficial, y entrega de mercancías únicamente tras la recepción de una confirmación de pago.
Escanee, verifique y pague
Las acciones preventivas sencillas también pueden reducir la exposición al riesgo. Un experto en protección de datos recomienda un control físico regular del QR código mostrado, mientras que otro especialista propone la instalación de una rejilla de protección que impida la colocación de otro código sin obstaculizar su lectura.
La inspección diaria de los soportes, el uso de protecciones inviolables y la formación del personal