#quishing — Public Fediverse posts

Alerta del FBI – No escanees los códigos QR de paquetes misteriosos que lleguen a tu puerta

La curiosidad puede salirte muy cara. El FBI ha emitido una advertencia urgente este 17 de marzo de 2026 sobre una nueva y sofisticada variante de las «estafas de cepillado» (brushing scams). En esta ocasión, los criminales no solo buscan inflar reseñas de productos, sino vaciar cuentas bancarias mediante paquetes que llegan sin remitente y cuya única instrucción es escanear un código QR para «descubrir quién envió el regalo» (Fuente FTC).

Esta alerta, se suma a la creciente ola de ciberdelincuencia de marzo, que ya incluye ataques rusos a Signal y la proliferación de bots en el nuevo Digg.

El «Quishing» postal: Así funciona la trampa

A diferencia de las estafas tradicionales por correo electrónico, el uso de un paquete físico añade una capa de «confianza» que engaña incluso a los usuarios más precavidos:

• El Paquete Anónimo: Recibes un sobre o caja (a menudo con productos de poco valor como fundas de móvil o cables) que no indica quién es el remitente.
• El Cebo: Dentro hay una nota que te invita a escanear un código QR para «ver el mensaje de tu admirador secreto», «obtener instrucciones de devolución» o «reclamar un premio».
• El Robo: Al escanearlo, el código te dirige a una web de phishing diseñada para robar tus credenciales bancarias o, peor aún, descarga automáticamente malware en tu smartphone que permite a los hackers rastrear todo lo que escribes.

¿Por qué los hackers usan códigos QR físicos?

Según el FBI, el uso de QR en papel ofrece ventajas críticas para los estafadores:

1. Evasión de Antivirus: Los filtros de seguridad de los correos electrónicos suelen detectar enlaces maliciosos, pero no pueden «leer» un código QR impreso en un papel físico que llega a tu casa.
2. Urgencia y Curiosidad: Al ser un objeto físico que tienes en tus manos, la resistencia psicológica a interactuar es menor que ante un SMS sospechoso.
3. Salto al Móvil: El QR fuerza al usuario a usar su teléfono personal, que a menudo tiene menos capas de protección que un ordenador corporativo.

Cómo protegerte de la «caja misteriosa»

Las autoridades han sido muy claras en sus recomendaciones para este 2026:

• Regla de Oro: Si no esperas un paquete y el remitente es desconocido, no escanees nada. La ley permite que te quedes con el contenido del paquete como un regalo, pero el código QR es terreno prohibido.
• Verifica el Remitente: Las empresas legítimas siempre incluyen una factura o un albarán con datos de contacto claros.
• Reporta al IC3: Si recibes uno de estos paquetes, el FBI solicita que lo denuncies en el Internet Crime Complaint Center (ic3.gov), aportando fotos del paquete y del código (sin escanearlo).

Un ecosistema digital bajo asedio

Esta noticia llega en un momento de máxima alerta tecnológica. Mientras Garmin integra WhatsApp para que no tengas que sacar el móvil, los criminales buscan precisamente que lo saques para escanear sus códigos. Es la misma semana en que Meta ha retirado el cifrado de Instagram, dejando a los usuarios más expuestos, y en la que Google ha tenido que corregir errores de certificación en sus nuevos teléfonos.

La ciberseguridad en 2026 ya no se trata solo de lo que haces en la pantalla, sino de cómo interactúas con los objetos que llegan a tu buzón.

Plaga przedświątecznych oszustw. Jak nie dać się okraść, kupując prezenty w sieci?

Grudzień to czas wzmożonej aktywności cyberprzestępców. Wykorzystując świąteczną gorączkę i naszą obniżoną czujność, masowo rozsyłają fałszywe wiadomości o niedopłatach za paczki czy rzekomych okazjach cenowych.

Eksperci ostrzegają: w tym roku oszuści są sprytniejsi niż kiedykolwiek, a zielona kłódka przy adresie strony już dawno przestała być gwarancją bezpieczeństwa.

Według danych amerykańskiego FBI, tylko w okresie świątecznym 2024 roku oszustwa typu phishing i spoofing (podszywanie się pod inne podmioty) przyniosły straty rzędu 70 milionów dolarów. W Polsce skala zjawiska również rośnie. Przestępcy coraz częściej wykorzystują sztuczną inteligencję do tworzenia wiarygodnych treści, co sprawia, że odróżnienie fałszywki od prawdziwego komunikatu staje się wyzwaniem.

Na co uważać? Anatomia oszustwa

Eksperci ds. cyberbezpieczeństwa zwracają uwagę na kilka konkretnych trików, które stosują złodzieje, by uśpić naszą czujność:

• Manipulacje adresem URL: smartfony często skracają widoczność adresu strony, co wykorzystują oszuści. Należy uważać na znak „@” w linku lub dziwne połączenia dwóch adresów znakiem zapytania. Częstą praktyką jest też tzw. typo-squatting, czyli domeny łudząco podobne do oryginału, np. „PayPa1” zamiast „PayPal”.
• „Bezpieczne” szyfrowanie: pamiętaj, że obecność „https://” i symbolu kłódki nie oznacza, że strona jest uczciwa. Oszuści masowo szyfrują swoje fałszywe strony, by wyglądały profesjonalnie.
• Skrócone linki: adresy typu bit.ly w SMS-ach od nieznajomych to niemal pewne oszustwo. Jeśli wiadomość zawiera presję czasu (np. „dopłać 2 zł w ciągu godziny, bo anulujemy paczkę”), pod żadnym pozorem nie klikaj w link.

Nie tylko e-maile. Uważaj na kody QR

Nowym, coraz popularniejszym wektorem ataku są kody QR, naklejane np. na parkomatach czy fałszywych ulotkach reklamowych. Zeskanowanie takiego kodu może przenieść nas na stronę wyłudzającą dane karty płatniczej lub pobierającą złośliwe oprogramowanie. Zanim zeskanujesz kod w miejscu publicznym, upewnij się, że nie jest to naklejka przyklejona na oryginalną instrukcję.

Co zrobić, jeśli kliknąłeś?

Jeśli podejrzewasz, że dałeś się złapać:

• Odłącz się: jeśli pobrałeś podejrzany plik, natychmiast odłącz urządzenie od sieci.
• Chroń pieniądze: skontaktuj się ze swoim bankiem i zastrzeż karty lub dostęp do bankowości elektronicznej, jeśli podejrzewasz, że podałeś cyberprzestępcom swoje dane.
• Zgłoś to: w Polsce każdy podejrzany SMS możesz zgłosić do zespołu CERT Polska, przesyłając go na numer 8080.

Kliknąłeś w podejrzany link? Eksperci radzą, co robić krok po kroku, aby uniknąć katastrofy

#bezpieczneZakupyWSieci #CERTPolska #cyberbezpieczeństwo #fałszyweLinki #news #oszustwaNaświęta #phishing #quishing