Comprueba la acción que estás autorizando, no solo el aspecto del código.
Un mensaje dice que debes escanear un código QR para entrar en un grupo privado o mantener activa tu cuenta. La siguiente pantalla te pide vincular un dispositivo. Son acciones diferentes. Detente antes de aprobar: un mecanismo auténtico de vinculación de cuentas también puede utilizarse con fines engañosos.
El cifrado de extremo a extremo protege los mensajes entre los dispositivos participantes. No puede decidir si realmente querías añadir el dispositivo que ahora los recibe. Esta guía explica cómo distinguir un enlace web, una solicitud de vinculación y un código de verificación de contacto, y qué comprobar si ya has actuado.
Dos trampas diferentes con códigos QR
Una web falsa: el código abre una página que imita un servicio conocido y solicita una contraseña u otros datos sensibles. La Comisión Federal de Comercio de Estados Unidos (FTC) advierte sobre los códigos QR en mensajes inesperados y recomienda comprobar los destinos y contactar con el supuesto remitente por una vía conocida, en vez de seguir el mensaje. Un logotipo familiar no demuestra quién administra la página. Recomendaciones de la FTC sobre estafas con QR.
Un dispositivo vinculado no deseado: el atacante te convence para conectar su ordenador u otro dispositivo a tu cuenta de mensajería. Puede abusar de una función legítima sin romper el cifrado. Google Threat Intelligence documentó ataques de vinculación de dispositivos de Signal disfrazados de invitaciones a grupos y avisos de seguridad. En esos ataques observados, la vinculación permitía que los mensajes futuros llegaran a un dispositivo controlado por el atacante. Investigación de Google sobre phishing de vinculación.
La diferencia importa. Cambiar la contraseña no sustituye la revisión de los dispositivos vinculados. Del mismo modo, apuntar la cámara hacia un código no demuestra que hayan tomado el control de la cuenta. Determina qué página se abrió, qué información proporcionaste y qué acción autorizaste.
Tres códigos parecidos, tres finalidades distintas
| Código o pantalla | Finalidad prevista | Pregunta antes de continuar |
|---|---|---|
| QR de un sitio web | Abrir una dirección | ¿Es el destino que esperaba por una vía independiente? |
| QR de vinculación | Autorizar otro dispositivo | ¿Es mi dispositivo y he iniciado yo la vinculación? |
| QR de verificación de contacto | Comparar información de identidad criptográfica | ¿Estoy en la pantalla de verificación de contactos y comparo con la persona adecuada? |
Por ejemplo, Signal documenta un procedimiento específico de vinculación desde los ajustes de dispositivos vinculados y la cámara de la propia aplicación. Sus instrucciones actuales también permiten elegir si se transfiere el historial de mensajes. No es la misma tarea que comprobar el número de seguridad de un contacto. Instrucciones de Signal sobre dispositivos vinculados.
La documentación de Signal sobre números de seguridad describe cómo comparar los números o escanear el QR de verificación del contacto, preferiblemente en persona. Esa comparación ayuda a verificar la identidad criptográfica de la conversación; por sí sola no demuestra la identidad real de una persona. No es una instrucción para conceder a un ordenador nuevo acceso a tu cuenta. Atiende a la finalidad de la pantalla real, no a la descripción del remitente. Explicación de Signal sobre los números de seguridad.
Un ejemplo práctico: la invitación que cambia de significado
Imagina esta situación ficticia. Mina recibe un mensaje aparentemente de un compañero: «El grupo del proyecto se ha trasladado. Escanea esto para volver a entrar». La página parece cuidada y le indica que abra el escáner de vinculación de dispositivos de su aplicación de mensajería.
Mina detecta la incoherencia: quería entrar en una conversación, no conectar otro ordenador. Cancela, abre por su cuenta el contacto que utiliza habitualmente y consulta con el compañero a través de otro canal de confianza. No usa el teléfono que aparece en la página sospechosa.
El ejemplo ilustra una regla útil: si el permiso que solicita la aplicación es más amplio que la tarea que pretendías realizar, o es diferente, detente. Una cuenta remitente conocida no basta: pueden suplantar cuentas o comprometerlas. Una dirección web tranquilizadora tampoco explica por sí sola por qué un dispositivo inesperado necesita acceso.
Una breve lista antes de autorizar
- Define tu tarea. ¿Vas a abrir una página, entrar en un grupo, verificar un contacto o vincular tu propio ordenador?
- Empieza por una vía independiente. Para administrar la cuenta, abre la aplicación instalada o un destino que ya conozcas, en lugar de seguir las indicaciones de un mensaje no solicitado.
- Lee lo que pide la aplicación. Trata la vinculación de dispositivos, la recuperación de cuentas y la introducción de credenciales como decisiones distintas. Cancela cualquier solicitud que no corresponda a tu tarea.
- Identifica el otro dispositivo. Vincula únicamente equipos que pretendías utilizar y que controlas. Un nombre de dispositivo amigable no demuestra su propiedad.
- No compartas secretos en los chats. No envíes contraseñas, códigos de registro ni claves de recuperación a alguien que diga querer ayudarte.
- Mantén el software actualizado. Las actualizaciones y los avisos integrados importan, pero no convierten una solicitud inesperada de autorización en una petición fiable.
Las recomendaciones de Signal contra el phishing aconsejan verificar de forma independiente, mantener los códigos en privado y tratar con cautela las solicitudes inesperadas. También distinguen sus anuncios oficiales, que solo se pueden leer, de quien suplanta al soporte mediante una conversación interactiva. Son detalles específicos de Signal, no afirmaciones sobre el sistema de asistencia de todas las aplicaciones de mensajería. Consejos de Signal contra el phishing y la suplantación.
Si ya has escaneado o autorizado
Parte de la acción que realmente ocurrió:
- Solo abriste una página: ciérrala y deja de interactuar. Comprueba si introdujiste información, descargaste algo o aprobaste alguna acción en una aplicación. No deduzcas ni que hay una intrusión ni que estás a salvo únicamente por haber escaneado.
- Introdujiste credenciales o compartiste un código: sigue las instrucciones oficiales de recuperación del servicio desde un dispositivo de confianza. Cambia las contraseñas expuestas y revisa los accesos a la cuenta; atiende por separado las contraseñas reutilizadas.
- Vinculaste un dispositivo desconocido: abre la lista real de dispositivos o sesiones de la aplicación y elimina la conexión no deseada. No supongas que borrar el mensaje fraudulento revoca el acceso.
- Instalaste software o concediste permisos inusuales: investígalo por separado. Revocar una sesión de la cuenta no elimina por sí mismo el software malicioso del teléfono.
En el caso concreto de Signal, sus recomendaciones de protección aconsejan revisar los dispositivos vinculados, eliminar las entradas desconocidas y, ante la duda, eliminar todos los dispositivos de la lista. Las instrucciones de desvinculación explican cómo revocar un dispositivo desde el teléfono principal. Otros servicios pueden ofrecer controles diferentes. Recomendaciones de Signal para proteger la cuenta, Instrucciones de Signal para desvincular dispositivos.
Revocar el acceso no permite recuperar información que ya se haya copiado en otro lugar. La exposición depende del servicio, de los permisos concedidos, de la elección sobre transferir el historial y de cuánto duró el acceso, no de una regla universal que afecte a «todos los chats». Si pudieron quedar expuestas conversaciones sensibles, avisa a las personas afectadas por una vía de confianza y sigue el procedimiento de notificación de incidentes que corresponda.
Qué comprobar al evaluar Livara u otra aplicación de mensajería
Pregunta cómo se autorizan los nuevos dispositivos, dónde se muestran las sesiones activas, cómo se revoca el acceso y si el historial se transfiere por separado. Consulta la documentación actual del producto, en lugar de dar por hecho que una etiqueta de cifrado responde a estas preguntas. Este artículo no establece que Livara utilice un inicio de sesión basado en QR ni un procedimiento concreto de vinculación de dispositivos.
La conclusión práctica es sencilla: verifica la acción que estás autorizando, no solo el aspecto del código.
