Redactado por Diego Fierro Rodríguez, quien es (entre otras muchas cosas) letrado de la Administración de Justicia Letrado en el Ministerio de Justicia de España. Imparte cursos para cuerpos generales como formador en el Instituto Andaluz de Administración Pública y colabora habitualmente con revistas de investigación y difusión jurídica, como Economist & Jurist, Law & Trends, Legaltoday y Confilegal, estando enfocado en el estudio de aspectos vinculados con la Administración de Justicia y las nuevas tecnologías, entre otras materias. Igualmente, es codirector de la Revista Acta Judicial (…).
I. Introducción al fenómeno del QRishing:
En la contemporaneidad, la tecnología ha transformado radicalmente los modos en que interactuamos con la información y los servicios, permitiendo un acceso inmediato a recursos digitales mediante herramientas como los códigos de respuesta rápida, conocidos comúnmente como códigos QR. Estos instrumentos, diseñados originalmente para facilitar transacciones y accesos a plataformas digitales con un simple escaneo, han adquirido una ubicuidad innegable, permeando desde menús en restaurantes hasta sistemas de pago y servicios públicos.
No obstante, esta misma facilidad de uso ha abierto la puerta a nuevas formas de delincuencia que aprovechan la confianza de los usuarios en la tecnología. Entre estas, el denominado QRishing emerge como una modalidad de fraude que, bajo la apariencia de una herramienta legítima, esconde intenciones maliciosas dirigidas a la sustracción de datos personales o financieros. Lo anterior me sugiere que la evolución de los delitos informáticos, en particular aquellos que se valen de técnicas de ingeniería social, plantea desafíos significativos para el marco jurídico y la protección de los ciudadanos.
El QRishing, en esencia, constituye una sofisticada variante del phishing, adaptada al uso masivo de códigos QR en la vida cotidiana. Mediante la colocación de códigos falsos en lugares estratégicos, como vehículos estacionados o espacios públicos, los ciberdelincuentes redirigen a las víctimas a sitios web fraudulentos que imitan con precisión plataformas oficiales, tales como las de la Dirección General de Tráfico o los ayuntamientos.
Estas páginas, diseñadas con un alto grado de verosimilitud, solicitan datos sensibles, como credenciales bancarias, bajo pretextos engañosos, como el pago de supuestas multas de tráfico. La aparente legitimidad de estos códigos, combinada con la urgencia que suelen generar las notificaciones de sanciones, incrementa la probabilidad de que los usuarios, confiados, proporcionen información que compromete su seguridad patrimonial. Ello me obliga a deducir que el QRishing no solo explota vulnerabilidades tecnológicas, sino también psicológicas, manipulando la percepción de urgencia y autoridad para perpetrar el fraude.
La proliferación de este tipo de estafas, reportada en ciudades como Málaga y Alicante, evidencia la necesidad de un análisis jurídico que no solo aborde las características técnicas del delito, sino también las implicaciones sociales y legales de su expansión. Los casos recientes, documentados hasta agosto del presente año, muestran cómo los estafadores suplantan la identidad de organismos oficiales, utilizando códigos QR que redirigen a sitios web fraudulentos con errores ortográficos evidentes, como “Jefajura” en lugar de “Jefatura” o “Derección” en lugar de “Dirección”. Estas señales, aunque detectables por un observador atento, pasan desapercibidas en un contexto de confianza ciega en la tecnología. Considero que esta dinámica subraya la importancia de un enfoque preventivo que combine la educación ciudadana con un marco normativo robusto, capaz de adaptarse a la rápida evolución de las técnicas delictivas en el entorno digital.
II. Naturaleza jurídica del QRishing como estafa informática:
Desde una perspectiva jurídica, el QRishing se encuadra con precisión en el ámbito del delito de estafa informática, regulado en el artículo 248.2 del Código Penal, reformado por la Ley Orgánica 5/2010, de 22 de junio. Este precepto establece que comete estafa quien, con ánimo de lucro, utiliza manipulaciones informáticas o artificios similares para lograr una transferencia no consentida de activos patrimoniales en perjuicio de terceros.
En el caso del QRishing, la manipulación informática se materializa a través de la creación de códigos QR que, al ser escaneados, redirigen a sitios web falsos diseñados para capturar datos sensibles o instalar software malicioso. La jurisprudencia española, en particular la Sentencia del Tribunal Supremo (Sala II) 834/2012, de 25 de octubre, ha clarificado que estas conductas, al implicar la obtención fraudulenta de credenciales bancarias mediante páginas web que imitan plataformas legítimas, cumplen con los elementos típicos del delito de estafa informática.
La distinción entre la estafa tradicional, contemplada en el artículo 248.1 del Código Penal, y la estafa informática es crucial para comprender la naturaleza del QRishing. Mientras que la estafa tradicional requiere un engaño directo que induzca a error a la víctima, provocando un acto de disposición patrimonial, la estafa informática se caracteriza por la manipulación técnica que permite al delincuente realizar dicha disposición sin la intervención activa de la víctima. La Sentencia del Tribunal Supremo (Sala II) 838/2023, de 16 de noviembre, afirma lo siguiente:
«Son varios los pronunciamientos de esta Sala sobre el alcance del delito de estafa informática contemplado en el art. 248.2 a) CP.
Efectivamente, en la sentencia núm. 622/2013, de 9 de julio, citada por el Ministerio Fiscal, señalábamos que «el apartado a) del artículo 248.2 constituye una especie de defraudación:
- No constituye una estafa de las genéricas tipificadas en el mismo artículo 248 en su apartado 1, ya que se prescinde del engaño y correlativo error en una persona y el consiguiente acto de disposición patrimonial. El procedimiento para atacar el patrimonio ajeno no pasa por una actuación engañosa desplegada por el autor ante otra persona a la que provoca error llevando a ésta a realizar un acto de disposición patrimonial en perjuicio propio o de tercero.
- Lo relevante es que la defraudación se cometa por un medio específico que sustituye el engaño de una persona determinada: la manipulación informática o artificio semejante.
- El componente objetivo del tipo se constituye, además, por el resultado que consistirá en la consecución de una transferencia caracterizada por: a) no ser consentida por la persona con facultades para ello; b) porque su objeto ha de ser un activo patrimonial, susceptible de ser «transferido» y c) ocasionar un perjuicio a persona distinta del autor del delito.
- Además de que el autor debe actuar conociendo que concurren esos elementos del tipo y con voluntad de llevar a cabo la transferencia, la antijuridicidad se acota por la concurrencia de un elemento subjetivo del tipo que es el ánimo de lucro».
Como exponíamos en la sentencia núm. 369/2007, de 9 de mayo, con referencia a las sentencias núm. 1476/2004, de 21 de febrero, 185/2006, de 24 de febrero, 692/2006, de 26 de junio «lo relevante es que la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos, de aquellos que permite su programación, o por la introducción de datos falsos (…)
Cuando la conducta que desapodera a otro de forma no consentida de su patrimonio se realiza mediante manipulaciones del sistema informático, bien del equipo, bien del programa, se incurre en la tipicidad del art. 248.2 del Código penal. También cuando se emplea un artificio semejante. Una de las acepciones del término artificio hace que este signifique artimaña, doblez, enredo o truco. (…)
Dicho tipo penal ( art. 248.2CP) tiene la función de cubrir un ámbito al que no alcanzaba la definición de la estafa introducida en la reforma de 1983. La nueva figura tiene la finalidad de proteger el patrimonio contra acciones que no responden al esquema típico del art. 248.1CP, pues no se dirigen contra un sujeto que pueda ser inducido a error. En efecto, los aparatos electrónicos no tienen errores como los exigidos por el tipo tradicional de la estafa, es decir, en el sentido de una representación falsa de la realidad. El aparato se comporta según el programa que lo gobierna y, en principio, «sin error….» (…)»
Más recientemente, explicábamos en la sentencia núm. 2606/2019, de 23 de julio, con cita de la sentencia núm. 509/2018, de 26 de octubre, que «la actual redacción del art. 248.2 del Código penal permite incluir en la tipicidad de la estafa aquellos casos que mediante una manipulación informática o artificio semejante se efectúa una transferencia no consentida de activos en perjuicio de un tercero admitiendo diversas modalidades, bien mediante la creación de órdenes de pago o de transferencias, bien a través de manipulaciones de entrada o salida de datos, en virtud de los que la máquina actúa en su función mecánica propia. Como en la estafa debe existir un ánimo de lucro; debe existir la manipulación informática o artificio semejante que es la modalidad comisiva mediante la que torticeramente se hace que la máquina actúe; y también un acto de disposición económica en perjuicio de tercero que se concreta en una transferencia no consentida. Subsiste la defraudación, y el engaño propio de la relación personal, es sustituido como medio comisivo defraudatorio por la manipulación informática o artificio semejante en el que lo relevante es que la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos, de aquéllos que permite su programación, o por la introducción de datos falsos. Cuando la conducta que desapodera a otro de forma no consentida de su patrimonio se realiza mediante manipulaciones del sistema informático, bien del equipo, bien del programa, se incurre en la tipicidad del art. 248.2 del Código Penal. También cuando se emplea un artificio semejante. Una de las acepciones del término artificio hace que este signifique artimaña, doblez, enredo o truco».
Así pues, a diferencia de cierto sector doctrinal, esta Sala viene admitiendo que, no únicamente aquellas manipulaciones de carácter informático, sino también las manipulaciones mecánicas realizadas sobre dispositivos electrónicos, han de considerarse como «artificio semejante», a los efectos previstos en el art. 248.2 a) CP.
La literalidad del precepto ampara esta interpretación. El citado artículo señala que: «También se consideran reos de estafa: a) Los que, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro».
De esta forma, es evidente que cualquier maniobra fraudulenta de carácter informático queda incluida dentro de la primera modalidad comisiva «manipulación informática», lo que haría innecesario la utilización de la expresión «artificio semejante» que quedaría vacía de contenido, si se exigiera que éste tuviera que ser de carácter informático. Por ello, esta última expresión ha de referirse a cualquier otra conducta realizada sobre el sistema que dé lugar al resultado que el propio delito trata de impedir, esto es, la producción de una transferencia no consentida de activos patrimoniales. De esta forma la semejanza a que se refiere el precepto radica en la manipulación del sistema, no en el carácter informático de la manipulación.
Esta interpretación tiene cabida en la Decisión Marco del Consejo de Ministros de la Unión Europea sobre «la lucha contra el fraude y la falsificación de medios de pago distintos del efectivo», de fecha 28 de Mayo de 2001, en cuyo art. 3 emplaza a los Estados miembros a adoptar «las medidas necesarias para garantizar que las siguientes conductas sean delitos penales cuando se produzcan de forma deliberada:- realización o provocación de una transferencia de dinero o de valor monetario que cause una pérdida no autorizada de propiedad a otra persona, con el ánimo de procurar un beneficio económico no autorizado a la persona que comete el delito o a terceros, mediante:
- la introducción, alteración, borrado o supresión indebidos de datos informáticos, especialmente datos de identidad, o
- la interferencia indebida en el funcionamiento de un programa o sistema informáticos».»
En el contexto del QRishing, el engaño inicial radica en la suplantación de identidad de organismos oficiales, pero es la manipulación informática —la redirección a un sitio fraudulento— lo que facilita el acceso no autorizado a cuentas bancarias o la instalación de malware. Esta dualidad plantea retos interpretativos, como se observa en la Sentencia de la Audiencia Provincial de Albacete (Sección 2ª) 129/2021, de 19 de abril, donde se debatieron los límites entre ambos tipos penales en casos de manipulación informática.
La Decisión Marco del Consejo de Ministros de la Unión Europea de 28 de mayo de 2001, relativa a la lucha contra el fraude y la falsificación de medios de pago distintos del efectivo, refuerza la necesidad de penalizar estas conductas, al considerar delictivas las acciones que impliquen la manipulación de datos informáticos o la interferencia en sistemas digitales. Lo anterior me sugiere que el marco normativo europeo y nacional está preparado para abordar el QRishing como una forma de fraude digital, pero su aplicación efectiva depende de la capacidad de los tribunales para adaptarse a las particularidades técnicas de cada caso. La Sentencia del Tribunal Supremo (Sala II) 533/2007, de 12 de junio, por ejemplo, destaca la importancia de acreditar la participación activa de los acusados en la recepción y disposición de fondos obtenidos fraudulentamente, lo que subraya la necesidad de una investigación meticulosa para identificar a los responsables en esquemas de QRishing.
III.) Riesgos asociados al QRishing y sus consecuencias:
Los riesgos inherentes al QRishing son múltiples y abarcan desde la sustracción de datos personales hasta la instalación de programas maliciosos que comprometen la seguridad de los dispositivos. En primer lugar, la obtención fraudulenta de información sensible, como nombres de usuario, contraseñas o datos bancarios, permite a los ciberdelincuentes perpetrar robos de identidad, fraudes financieros o incluso chantajes. Este tipo de ataques, reportados en Málaga y Alicante, se valen de páginas web que imitan con precisión los portales oficiales, solicitando información bajo pretextos como el pago de multas de tráfico. La aparente legitimidad de estas plataformas, combinada con la urgencia de resolver una supuesta sanción, incrementa la probabilidad de que las víctimas proporcionen datos sensibles sin cuestionar la autenticidad del sitio.
En segundo lugar, los códigos QR maliciosos pueden redirigir a sitios que descargan automáticamente software malicioso, como troyanos, spyware o ransomware. Estos programas no solo comprometen la seguridad del dispositivo, sino que pueden generar pérdidas patrimoniales significativas al bloquear el acceso a datos personales o realizar transferencias no autorizadas.
La Policía Local de Málaga ha advertido que las multas fraudulentas carecen de información básica, como el número de identificación del agente o los datos del vehículo, lo que debería alertar a los usuarios sobre su naturaleza ilícita. Sin embargo, la sofisticación de estos sitios, que incluso incluyen chats de soporte falsos, dificulta la detección del fraude por parte de usuarios no familiarizados con estas señales.
Finalmente, el acceso no autorizado a cuentas bancarias o de redes sociales, derivado de la captura de credenciales, puede tener consecuencias devastadoras, desde transferencias fraudulentas hasta el uso indebido de la identidad digital de la víctima. La Sentencia del Tribunal Supremo (Sala II) 556/2009, de 16 de marzo, ilustra cómo la cooperación necesaria en estos delitos, como la recepción de fondos obtenidos fraudulentamente, puede implicar a múltiples actores en la cadena delictiva. Ello me obliga a deducir que el QRishing no solo afecta a las víctimas directas, sino que también plantea desafíos para la persecución penal, dado el carácter transnacional y anónimo de muchos de estos ataques.
IV.) Estrategias de prevención y autoprotección:
La prevención del QRishing requiere un enfoque multifacético que combine la educación ciudadana, el uso de herramientas tecnológicas y la aplicación rigurosa de la normativa vigente. En primer lugar, los usuarios deben adoptar una actitud de cautela al interactuar con códigos QR, verificando su origen y autenticidad antes de escanearlos. El Instituto Nacional de Ciberseguridad recomienda no escanear códigos de procedencia desconocida y utilizar analizadores de enlaces, como VirusTotal o URLVoid, para evaluar la seguridad de las direcciones web a las que redirigen. Esta práctica, aunque sencilla, puede prevenir el acceso a sitios fraudulentos que buscan capturar datos sensibles o instalar malware.
Además, es fundamental examinar la legitimidad de la URL a la que se accede tras escanear un código QR. Las direcciones sospechosas, como aquellas con errores ortográficos o que utilizan dominios no oficiales, deben ser evitadas. La Policía Local de Alicante ha enfatizado que las multas legítimas nunca incluyen códigos QR, sino códigos de barras con información específica, lo que constituye una señal clara para identificar fraudes. Asimismo, los usuarios deben abstenerse de proporcionar datos personales o bancarios en sitios accedidos a través de códigos QR, optando en su lugar por acceder directamente a las plataformas oficiales mediante aplicaciones o URLs verificadas.
La implementación de sistemas de autenticación de doble factor para transacciones financieras, como los requeridos por la Ley 16/2009 y el Real Decreto-ley 19/2018, representa otra capa de protección contra el QRishing. Estas medidas, que exigen una confirmación adicional mediante códigos enviados por SMS o aplicaciones bancarias, reducen significativamente el riesgo de transferencias no autorizadas. Considero que la combinación de estas estrategias, junto con campañas de sensibilización pública, puede mitigar los riesgos asociados al QRishing, aunque su éxito depende de la colaboración entre ciudadanos, autoridades y entidades privadas.
V.) Responsabilidad de los prestadores de servicios:
La responsabilidad de los prestadores de servicios, especialmente aquellos que operan en entornos digitales accesibles mediante códigos QR, plantea interrogantes complejas en el ámbito jurídico. El artículo 120.3 del Código Penal establece la responsabilidad civil subsidiaria de personas naturales o jurídicas por delitos cometidos en sus establecimientos, siempre que se acredite una infracción de normativas relacionadas con el hecho punible. En el contexto del QRishing, esta disposición podría aplicarse a entidades cuyas plataformas son suplantadas por sitios fraudulentos, aunque la jurisprudencia, como la Sentencia del Tribunal Supremo (Sala II) 327/2016, de 20 de abril, subraya que dicha responsabilidad no es estrictamente objetiva, requiriendo una relación causal entre la infracción y el daño causado.
Las entidades financieras, reguladas por la Ley 16/2009 y el Real Decreto-ley 19/2018, enfrentan obligaciones específicas en materia de seguridad de las transacciones electrónicas. Estas normas exigen la implementación de medidas robustas para detectar y prevenir fraudes, lo que podría implicar responsabilidad en casos de QRishing si se demuestra una negligencia en la protección de sus plataformas. Sin embargo, la Sentencia del Tribunal Supremo (Sala II) 413/2015, de 30 de junio, aclara que la responsabilidad civil subsidiaria requiere la infracción de un deber objetivo de cuidado, lo que complica su aplicación a casos donde el fraude se origina en un código QR externo, no controlado por la entidad.
La valoración de la conducta de la víctima también es relevante. La jurisprudencia, como la Sentencia del Tribunal Supremo (Sala II) 327/2016, de 20 de abril, establece que las víctimas no pueden ser consideradas negligentes cuando el fraude se produce mediante engaño sofisticado. Esta interpretación protege a los usuarios que, confiados en la aparente legitimidad de un código QR, caen en la trampa de los ciberdelincuentes. Asumo que la interacción entre la responsabilidad de las entidades y la conducta de las víctimas requiere un análisis caso por caso, considerando tanto las medidas de seguridad implementadas por los prestadores de servicios como el grado de diligencia ejercido por los usuarios.
VI. Caso práctico con el fraude en el servicio BiciMAD:
Un ejemplo paradigmático de las implicaciones del QRishing se encuentra en el caso reportado en Madrid, relacionado con el servicio público de alquiler de bicicletas BiciMAD. En septiembre de 2023, se documentaron estafas en las que códigos QR fraudulentos, colocados en las estaciones de bicicletas, redirigían a los usuarios a sitios web que solicitaban datos bancarios bajo el pretexto de procesar pagos por el servicio. Este incidente pone de manifiesto la vulnerabilidad de los servicios públicos que integran tecnologías digitales, así como la necesidad de implementar medidas de seguridad específicas para proteger a los usuarios.
La respuesta de BiciMAD, que enfatizó la exclusividad de su aplicación oficial como canal seguro para escanear códigos QR, refleja la importancia de delimitar claramente los puntos de acceso legítimos. Sin embargo, la ausencia de datos precisos sobre el número de víctimas o el alcance económico del fraude dificulta la evaluación de su impacto. Lo anterior me sugiere que los servicios públicos que dependen de códigos QR deben reforzar sus protocolos de seguridad, incluyendo la verificación física de los códigos y la promoción de canales oficiales de comunicación con los usuarios.
La implementación de sistemas de autenticación de doble factor o doble verificación, como los recomendados por el Instituto Nacional de Ciberseguridad, podría haber mitigado los riesgos en este caso, al requerir una confirmación adicional para procesar pagos. Además, la educación ciudadana sobre los riesgos del QRishing, combinada con advertencias claras en los puntos de acceso al servicio, resulta esencial para prevenir futuros incidentes. Este caso evidencia que, aunque los códigos QR ofrecen beneficios significativos, su uso debe ir acompañado de medidas de seguridad proporcionales a los riesgos que entrañan.
Perfil de LinkedIn para contacto, disponible en: