Revisión: Soluciones de código QR para la lucha contra la falsificación, con ejemplos

Las marcas mundiales están adoptando los códigos QR para su uso en la lucha contra la falsificación en los envases y documentos de los productos debido a los avances en la impresión digital, las cámaras de los teléfonos inteligentes y los recientes cambios en los hábitos de los consumidores. En conjunto, estos cambios han hecho que los códigos QR seguros sean más escalables y rentables que los elementos de seguridad físicos tradicionales, como los hologramas y los etiquetados. Sin embargo, no todos los códigos QR utilizados para la lucha contra la falsificación son iguales: han surgido varias soluciones diferentes para asegurar los códigos QR, cada una con diferentes puntos fuertes y débiles.

En este artículo, aplicamos décadas de experiencia de Scantrust como pionero de la seguridad contra la falsificación a una revisión en profundidad de las características de seguridad, los pros y los contras del uso de códigos QR para los envases y documentos contra la falsificación.

1. Visión general: los tipos de códigos QR que se suelen utilizar y si tienen una característica de seguridad
2. Cómo suelen copiar los envases y los códigos QR los falsificadores
3. Seguridad de los códigos QR estáticos y dinámicos
4. Seguridad de los códigos serializados (únicos)
5. Seguridad de los códigos QR
6. Cómo protegerse contra los falsificadores que eluden su código QR
7. Cómo de práctico es para los usuarios escanear los códigos QR para la autentificación de los productos
8. Cómo elegir una solución antifalsificación basada en códigos QR

Estudio de caso: Cómo utiliza Rémy Cointreau los códigos QR seguros

Este diagrama muestra un ejemplo común de un falsificador que copia con éxito el embalaje, incluido el código QR, de un producto:

El mismo enfoque de falsificación mostrado anteriormente se ve frustrado por un código QR seguro que es resistente a la copia. Cuando lo escanea un usuario final o un cliente, es posible detectar instantáneamente que el envase o las etiquetas de los productos han sido copiados.

Método de falsificación: Copiar directamente la etiqueta de código QR seguro utilizando un escáner y una impresora de alta resolución

“Estático” y “dinámico” son términos técnicos que designan el tipo de URL que se incrusta en un código QR. Estas características de los códigos QR no proporcionan intrínsecamente seguridad, aunque pueden facilitar ligeramente el control y el posible cierre de las falsificaciones.

Ejemplo básico de código QR dinámico frente a código QR estático

Los códigos QR dinámicos son más comunes en los casos de uso empresarial debido a la capacidad de “ver” todo el tráfico (escaneos de códigos QR) que pasa por la URL de redirección. Otra característica importante de los códigos QR dinámicos para las empresas es la posibilidad de cambiar la URL de destino según sea necesario y bajo demanda. Esta característica proporciona flexibilidad a la hora de gestionar y actualizar un código QR una vez impreso el código. Con los códigos QR estáticos, usted se queda con la URL de destino utilizada, a menos que haga cambios avanzados de DNS más tarde para redirigir a los usuarios. Sin embargo, este enfoque con los códigos QR estáticos puede estar plagado de problemas, por lo que se prefieren los códigos QR dinámicos.

Los códigos QR estáticos son los más básicos y también los menos seguros. Estos códigos suelen crearse con herramientas gratuitas de generación de códigos QR que se encuentran en Internet o con una aplicación de hoja de cálculo como Excel. Incluyen una URL incrustada que no puede cambiarse una vez impreso el código.

Este es un ejemplo de falsificación de un código QR estático:

Contexto: Un consumidor encuentra un código QR estático que ha sido copiado y reimpreso por un falsificador. Estos códigos no son únicos y se serializan de un producto a otro:

1. Imprime códigos QR estáticos: Una marca de aceite de motor imprime el mismo código QR estático en millones de botellas de aceite de motor auténticas con un enlace al sitio web del producto.
2. El falsificador hace copias del envase del aceite de motor, incluido el código QR.
3. Un cliente compra un producto falsificado y escanea el código QR copiado
4. El cliente ve la página web del producto: El cliente es redirigido a la misma URL del sitio web de información del producto que los clientes que han comprado el producto real.
5. El resultado es que no hay ningún mecanismo para comprobar si el producto es auténtico: La marca de aceite de motor no tiene una forma fácil de distinguir qué usuarios del sitio web de información del producto proceden del producto “real” o del “falso” y, por tanto, no hay forma de alertar a los clientes de que han obtenido un producto falsificado.

En una situación en la que un falsificador ha copiado un envase, un documento, etc. con un código QR estático, el usuario final no suele ser capaz de distinguir visualmente el código QR falsificado. Cuando las URL de los envases falsos y reales son todas iguales, en igualdad de condiciones, sería difícil para el propietario de la marca distinguir con seguridad qué escaneos del código QR (y, por tanto, las visitas a la URL) proceden de productos reales o falsos. Como mínimo, esto contamina lo que de otro modo habrían sido datos útiles sobre el uso de los consumidores.

Ventajas: Ninguna. Los códigos QR estándar no tienen capacidad de lucha contra la falsificación.

Contras: Cualquier falsificador puede copiar estos códigos QR estáticos para utilizarlos en productos falsificados.

Los códigos QR dinámicos son códigos con una URL intermedia incrustada en el código QR. Estos códigos redirigen al cliente a otra URL, que se establece en una interfaz de gestión, y que suele revelar el sitio web informativo de un producto.

A continuación se presenta un ejemplo de falsificación de códigos QR dinámicos, suponiendo que los códigos no son únicos de un producto a otro:

1. Imprimir códigos QR dinámicos: Una marca de aceite de motor imprime un código QR dinámico en cada lote de cientos de miles de productos para un total de millones de botellas de aceite de motor (Nota: a menudo, se utiliza un código dinámico en todos los productos, no diferentes por lote; esta práctica ofrece menos seguridad y utilidad).
2. Un falsificador copia el producto y el envase, incluido el código QR dinámico, de un lote de aceite de motor.
3. Un cliente compra el producto falsificado y escanea el código QR dinámico falsificado.
4. El cliente ve la página web del producto: El código QR dinámico falsificado redirige al cliente a la URL del sitio web de información sobre el producto previsto, al igual que ocurriría con los clientes que compraron el producto auténtico.
5. El resultado es que no se puede comprobar si el producto es auténtico: Ni la marca ni el consumidor tienen una forma fácil de distinguir de qué sitio provienen los visitantes: del producto auténtico o de la falsificación. Por tanto, no hay forma de saber cuál de los códigos QR dinámicos (qué lote) era falso, finalmente. No hay forma de notificar a los clientes que han comprado un producto falsificado.

Nótese que en el flujo anterior, la marca podría haber utilizado también un código QR estático diferente para cada lote. En conjunto, los dos ejemplos anteriores ilustran que ni los códigos QR estáticos ni los dinámicos proporcionan niveles de protección significativamente diferentes.

Ventajas: La marca puede obtener eventualmente un poco más de información sobre qué lote fue falsificado, pero por lo demás tiene pocos recursos.

Contras: Un falsificador no se ve especialmente disuadido de copiar un código QR dinámico de este tipo para utilizar y vender productos falsificados.

Verificación de un producto falsificado con códigos serializados (únicos) en el envase

Los códigos QR serializados son únicos de un producto o documento a otro. Los enlaces incrustados en ellos pueden ser estáticos (apuntan a una URL que no puede cambiarse una vez impresa) o dinámicos (pueden cambiarse después de imprimir el código, a través de una URL intermediaria y redirigida).

1. Imprima códigos QR únicos y dinámicos: Una marca de aceite de motor pone un número de serie único en un código QR dinámico en cada botella.
2. Un falsificador hace copias del envase de una botella de un producto, incluyendo el código QR único y dinámico.
3. Los clientes compran los productos falsificados y algunos escanean el código QR falsificado.
4. Los clientes escanean el código QR e intentan autentificar el producto. El producto sólo se identifica como falso si el código está en la lista negra de la marca, lo que suele ocurrir cuando ya se han comprado y escaneado miles de productos falsificados en la naturaleza.
5. La marca recopila datos contra la falsificación, incluido el código QR único de cada botella de aceite de motor que se ha escaneado cientos de veces, en muchos lugares diferentes.
6. Finalmente, la marca identifica un código QR específico que es falso, y utilizando su solución antifalsificación, cambia la información que se muestra a cualquier escaneo futuro de este código a “este es un producto falso”. Esto se llama “lista negra”.
7. La marca recopila información geográfica sobre la ubicación del escaneo, el lugar en el que se ha podido comprar el producto, fotografías y otras pruebas para emprender acciones legales contra los falsificadores.

• Ventajas: La marca pudo descubrir finalmente qué producto era falso (hasta el nivel de unidad), así como dónde se escaneaban esos productos geográficamente. Una vez que el código se incluyó en la lista negra, los escaneos de autenticación posteriores de ese código por parte de los clientes darían lugar a una notificación de que habían comprado un producto falsificado.

  Contras: Dependiendo de los umbrales de alerta, cientos o miles de clientes pueden haber comprado el producto falsificado y haberlo escaneado antes de que la marca haya descubierto y puesto en la lista negra el código QR del producto falsificado.

   

   

Los códigos QR serializados proporcionan datos muy valiosos para la lucha contra la falsificación

Estudio de caso: Cómo Dupont utiliza los códigos QR seguros en los filtros de agua

La imagen anterior muestra los datos de escaneo del mundo real de un único código QR serializado escaneado 234 veces por 163 escáneres únicos. La distribución geográfica de los escaneos es un buen indicio de que los usuarios que escanean los productos son distintos. Este código en particular fue marcado como “sospechoso de falsificación” mucho antes de que se registraran 234 escaneos, pero en este punto, es más o menos una certeza de que hay un problema de falsificación.

Estos datos pueden significar la diferencia entre que una empresa tenga opciones legales contra los falsificadores o no tenga ninguna. Lo más interesante de este ejemplo del mundo real es que el propósito original de serializar los códigos QR en los productos de la marca no era abordar un problema de falsificación; se aplicaron para impulsar campañas de marketing personalizadas y segmentadas; otra función para la que son útiles los códigos QR serializados. En este caso, el propietario de la marca no sospechaba en absoluto que tuviera un problema de falsificación.

Un patrón de detección de copias, también conocido como imagen resistente a las copias o imagen de seguridad incrustada, es una imagen digital diseñada para perder información clave cuando se copia y se vuelve a imprimir, señalando así que es una copia. Es como cuando usas una fotocopiadora, la copia nunca se ve tan bien como la versión que imprimiste desde tu impresora de inyección de tinta.

Utilizando este principio, es posible insertar una imagen de seguridad generada aleatoriamente en una parte del código QR, convirtiéndolo en un código QR “seguro” que puede ser autentificado como el original.

Cuando los falsificadores copian los códigos QR seguros, el resultado es detectable con una simple cámara de teléfono móvil.

Este es un ejemplo en el que un cliente compra un producto falsificado con un código QR seguro (tiene una imagen de seguridad incrustada en el código QR):

1. Imprima o aplique códigos QR seguros. Una marca de aceite de motor pone un código QR seguro en cada botella.
2. Un falsificador copia el embalaje de la botella de un producto, incluyendo el código QR seguro.
3. Varios clientes compran los productos de aceite de motor falsificados y escanean directamente el código QR falsificado.
4. El cliente comprueba la autenticidad siguiendo las instrucciones que aparecen en pantalla en la web de autentificación del producto o en la aplicación móvil.
5. La solución antifalsificación identifica el código QR seguro como una falsificación “con pérdida”.
6. Se notifica al cliente la falsificación y se alerta a la marca.
7. El código QR circundante se incluye en la lista negra para que todos los escaneos futuros del mismo también den lugar a que se informe al cliente de que se trata de un producto falso.

Estudio de caso: Cómo utiliza ExxonMobil los códigos QR seguros en el aceite de motor

• Probado – Los patrones de detección de copias se han utilizado en contextos de alta seguridad desde 2002, cuando fueron inventados por el fundador y CTO de Scantrust. Esta tecnología madura se ha desplegado en varias industrias y mercados con empresas como DuPont, Unilever, ExxonMobil, e incluso gobiernos para su uso en documentos importantes.
• Facilidad de uso – Funcionan con todos los smartphones modernos y populares a través de una cámara.
• Rentabilidad – Los códigos QR seguros se integran en el proceso de envasado o impresión existente, a diferencia de los costosos elementos de seguridad física como los hologramas, cuya fabricación es mucho más costosa y sigue dependiendo de la educación de los clientes para que sepan distinguir lo auténtico de lo falso. También funcionan con códigos QR estáticos o dinámicos no serializados. Dependiendo de la solución, son compatibles con impresoras digitales como HP Indigo, flexo, offset, variable y configuraciones de impresión híbridas.
• Flexible – La serialización tampoco es una dependencia para los códigos QR seguros; puede utilizar códigos serializados (únicos) o códigos básicos estáticos o dinámicos. Puede imprimirlo dentro o junto al código QR impreso digitalmente mediante flexografía, offset o huecograbado.
• Escalable – una vez que se ha completado la integración y las pruebas iniciales de impresión o etiquetado, el código QR seguro único o el gráfico seguro (si se utiliza fuera o junto a otro código QR) puede imprimirse tantas veces como se desee.

En el siguiente ejemplo, un sofisticado falsificador intenta saltarse el código QR seguro.

Método de falsificación: Copiar el envase pero sustituir el código QR por uno controlado por el falsificador

El falsificador utiliza su propio código QR, su nombre de dominio y su sitio web, por lo que controla todo el recorrido del cliente o usuario que escanea el código QR del producto falsificado. El nombre de dominio suele ser una ortografía ligeramente alterada del sitio web real de la marca o del proveedor de tecnología antifalsificación y es fácil de confundir con un sitio web de autenticación oficial.

Incluso en este caso, el uso de códigos QR serializados o de un código QR seguro en un programa antifalsificación bien diseñado permite al propietario de la marca utilizar el crowdsourcing para detectar los productos falsificados en el mercado. Esto se debe a que un programa antifalsificación bien diseñado ofrecerá dos formas de autenticación:

1. Los usuarios pueden autenticarse escaneando directamente un código QR. Esto puede ser eludido por un falsificador que sustituya completamente su código QR serializado o seguro por el suyo, y envíe al usuario a su propio sitio web falso.
2. Los usuarios pueden autenticarse visitando primero un canal de confianza para la autenticación, como una web oficial o una aplicación móvil o una cuenta de redes sociales, y luego comenzar el proceso de autenticación allí.

Veamos ejemplos más detallados:

Escenario de “canal no fiable”: El usuario se autentifica escaneando directamente un código QR elaborado por el falsificador (es decir, no es una copia del código de un producto auténtico). Esta sofisticada falsificación no se detecta:

Escenario de “canal de confianza”: El usuario visita primero un canal de confianza (aplicación móvil o sitio web oficial) y luego escanea el código QR dentro de esa web o aplicación móvil. Se detecta la sofisticada falsificación.

Como regla general, entre el 1% y el 20% de los productos con un código QR son escaneados por un usuario final, lo que varía mucho según el mercado, la categoría del producto y el incentivo o caso de uso para escanear el código. Hay casos de uso en los que la tasa de escaneo puede ser superior al 20%, por ejemplo, el registro de la garantía o para reclamar una recompensa. El éxito del despliegue de una solución de envasado conectado requiere el diseño de un enfoque de envasado conectado que facilite a sus clientes la autenticación de sus productos y la comprensión de las ventajas de hacerlo.

En general, hay algunas consideraciones clave a la hora de decidir qué nivel de seguridad del código QR utilizar.

• Solidez o “fuerza” de la seguridad deseada: como se ha demostrado anteriormente, los códigos QR básicos, estáticos y dinámicos, que no están serializados (no son únicos), no ofrecen prácticamente ninguna protección contra las falsificaciones o los datos de falsificación procesables del mercado. Los códigos QR serializados proporcionan una protección limitada y retardada, mientras que los códigos QR seguros con imágenes de seguridad incrustadas proporcionan una protección fuerte e inmediata.
• Coste de la solución y coste total de propiedad: los códigos QR serializados y seguros suelen llevar asociados algunos costes de configuración debido al requisito de integración con el equipo de impresión. Además de los costes de instalación, suelen tener un precio por código.
• Facilidad de implementación: depende de la solución antifalsificación elegida, del modo en que se imprime actualmente y del equipo de impresión que se utilice. Un proveedor de soluciones de códigos QR seguros con experiencia podrá ayudarle rápidamente a navegar por sus opciones para encontrar el camino más rápido hacia sus objetivos.