La curiosidad puede salirte muy cara. El FBI ha emitido una advertencia urgente este 17 de marzo de 2026 sobre una nueva y sofisticada variante de las «estafas de cepillado» (brushing scams). En esta ocasión, los criminales no solo buscan inflar reseñas de productos, sino vaciar cuentas bancarias mediante paquetes que llegan sin remitente y cuya única instrucción es escanear un código QR para «descubrir quién envió el regalo» (Fuente FTC).
Esta alerta, se suma a la creciente ola de ciberdelincuencia de marzo, que ya incluye ataques rusos a Signal y la proliferación de bots en el nuevo Digg.
El «Quishing» postal: Así funciona la trampa
A diferencia de las estafas tradicionales por correo electrónico, el uso de un paquete físico añade una capa de «confianza» que engaña incluso a los usuarios más precavidos:
- El Paquete Anónimo: Recibes un sobre o caja (a menudo con productos de poco valor como fundas de móvil o cables) que no indica quién es el remitente.
- El Cebo: Dentro hay una nota que te invita a escanear un código QR para «ver el mensaje de tu admirador secreto», «obtener instrucciones de devolución» o «reclamar un premio».
- El Robo: Al escanearlo, el código te dirige a una web de phishing diseñada para robar tus credenciales bancarias o, peor aún, descarga automáticamente malware en tu smartphone que permite a los hackers rastrear todo lo que escribes.
¿Por qué los hackers usan códigos QR físicos?
Según el FBI, el uso de QR en papel ofrece ventajas críticas para los estafadores:
- Evasión de Antivirus: Los filtros de seguridad de los correos electrónicos suelen detectar enlaces maliciosos, pero no pueden «leer» un código QR impreso en un papel físico que llega a tu casa.
- Urgencia y Curiosidad: Al ser un objeto físico que tienes en tus manos, la resistencia psicológica a interactuar es menor que ante un SMS sospechoso.
- Salto al Móvil: El QR fuerza al usuario a usar su teléfono personal, que a menudo tiene menos capas de protección que un ordenador corporativo.
Cómo protegerte de la «caja misteriosa»
Las autoridades han sido muy claras en sus recomendaciones para este 2026:
- Regla de Oro: Si no esperas un paquete y el remitente es desconocido, no escanees nada. La ley permite que te quedes con el contenido del paquete como un regalo, pero el código QR es terreno prohibido.
- Verifica el Remitente: Las empresas legítimas siempre incluyen una factura o un albarán con datos de contacto claros.
- Reporta al IC3: Si recibes uno de estos paquetes, el FBI solicita que lo denuncies en el Internet Crime Complaint Center (ic3.gov), aportando fotos del paquete y del código (sin escanearlo).
Un ecosistema digital bajo asedio
Esta noticia llega en un momento de máxima alerta tecnológica. Mientras Garmin integra WhatsApp para que no tengas que sacar el móvil, los criminales buscan precisamente que lo saques para escanear sus códigos. Es la misma semana en que Meta ha retirado el cifrado de Instagram, dejando a los usuarios más expuestos, y en la que Google ha tenido que corregir errores de certificación en sus nuevos teléfonos.
La ciberseguridad en 2026 ya no se trata solo de lo que haces en la pantalla, sino de cómo interactúas con los objetos que llegan a tu buzón.
infosertecla.com 