Alerta de la Policía Cibernética: así funciona el fraude de paquetes no solicitados con códigos QR

La Secretaría de Seguridad Ciudadana de la Ciudad de México (SSC-CDMX), en colaboración con la Policía Cibernética, emitió una alerta sobre una modalidad de fraude conocida como quishing. Los delincuentes envían un paquete a domicilio que la víctima nunca solicitó ni compró. Al llegar, incluyen una nota o etiqueta que pide escanear un código QR para ‘validar’ la entrega o confirmar la recepción. Al escanearlo, el usuario es redirigido a un sitio web falso que roba datos personales, contraseñas y información bancaria.

El modus operandi se divide en tres etapas claras: el envío del paquete no solicitado, el gancho con la petición de escanear el QR y el robo de información una vez que se accede al enlace malicioso. Esta estafa ha aumentado en los últimos meses en la CDMX y puede presentarse también en otras formas, como en folletos, carteles, etiquetas en lugares públicos, correos electrónicos o redes sociales. Incluso en restaurantes se han reportado casos similares.

Las autoridades recomiendan no escanear ningún código QR sospechoso, nunca proporcionar datos personales ni bancarios, verificar previamente si se espera algún paquete real, mantener actualizado un antivirus en el celular y documentar cualquier situación sospechosa con fotos, videos o capturas de pantalla para posibles denuncias. El FBI ya había alertado sobre esta misma táctica en agosto del año pasado, donde los estafadores envían códigos QR disfrazados de información de seguimiento de paquetes.

Esta modalidad de ciberfraude, conocida como quishing (combinación de QR y phishing), busca aprovechar la confianza de las personas en las entregas de paquetería. Mantener la precaución y verificar siempre la fuente oficial es clave para evitar caer en estas trampas cada vez más comunes.