Están en las mesas de los restaurantes, aparcamientos, carteles, máquinas expendedoras, entradas, facturas y escaparates.
Nos hemos acostumbrado tanto a los códigos QR que muchas veces hacemos algo que jamás haríamos con un enlace recibido de un desconocido:
abrirlo sin comprobar absolutamente nada.
Y ahí aparece una oportunidad para los ciberdelincuentes.
Un código QR puede dirigir a una página falsa diseñada para robar contraseñas, datos bancarios o información personal. También puede utilizarse para conducir al usuario hacia una descarga maliciosa o iniciar otros tipos de fraude.
Esta modalidad suele conocerse como quishing o QRishing, una combinación de QR y phishing.
El código en sí no necesita «hackear» mágicamente el teléfono.
El peligro suele empezar después de escanearlo, cuando confiamos en la página a la que nos dirige.
Qué es el quishing
El quishing aplica la lógica tradicional del phishing utilizando un código QR.
En un ataque de phishing habitual, el delincuente intenta que pulses un enlace incluido en:
un correo electrónico,
un SMS,
o una red social.
Con el quishing sustituye ese enlace visible por un QR.
Lo escaneas.
El móvil abre una dirección.
Y esa página puede imitar:
un banco,
una administración pública,
una empresa de paquetería,
un aparcamiento,
una plataforma de pago,
una red social
o cualquier otro servicio conocido.
El objetivo continúa siendo el mismo:
conseguir que seas tú quien entregue la información.
El QR puede ocultar fácilmente la dirección de destino
Aquí está una de las razones por las que esta técnica resulta especialmente interesante para los estafadores.
Cuando recibes un enlace escrito puedes detectar cosas extrañas.
Por ejemplo:
mibanco-seguridad-ejemplo.com
puede hacerte sospechar si sabes que la dirección real de tu banco es completamente diferente.
Con un QR no ves inicialmente esa dirección.
Solo ves un conjunto de cuadrados negros.
Por eso muchas personas lo escanean primero y piensan después.
Debería ser al revés.
Un QR falso puede pegarse encima de uno verdadero
No todas las estafas digitales empiezan dentro de Internet.
INCIBE contempla precisamente el riesgo de encontrar códigos QR fraudulentos colocados físicamente encima de códigos legítimos.
Imagina un aparcamiento.
Existe un cartel oficial para pagar mediante QR.
Alguien coloca una pegatina con otro QR encima.
El conductor llega con prisa.
Escanea.
Aparece una página que visualmente parece pertenecer al servicio de estacionamiento.
Introduce:
matrícula,
datos personales
y tarjeta bancaria.
Pero la información termina en manos de un tercero.
Por eso un QR colocado en un lugar aparentemente oficial no es automáticamente fiable.
Restaurantes y bares: mira si hay una pegatina superpuesta
Las cartas digitales han normalizado todavía más el uso del QR.
Un restaurante puede tener un código:
sobre la mesa,
en una pegatina,
en un expositor
o impreso directamente en la carta.
Antes de escanearlo, observa físicamente el soporte.
Si parece existir una pegatina colocada sobre otra, pregunta al establecimiento.
No significa necesariamente que sea un fraude.
El negocio puede haber actualizado legítimamente el código.
Pero comprobarlo cuesta apenas unos segundos.
Un QR no es peligroso simplemente por escanearlo
Conviene evitar también el alarmismo.
Escanear un código QR no significa automáticamente que hayan robado tus cuentas.
En muchos ataques todavía hacen falta pasos posteriores.
El riesgo aumenta cuando después:
introduces usuario y contraseña,
facilitas datos bancarios,
descargas un archivo,
instalas una aplicación,
concedes permisos,
autorizas una operación
o introduces un código de verificación.
Por eso, si has escaneado un QR sospechoso pero no has hecho nada más, la situación es muy diferente de haber introducido las credenciales de tu banco.
Mira la dirección antes de abrirla
Muchos móviles muestran una vista previa de la dirección detectada antes de acceder.
Aprovéchala.
No pulses automáticamente.
Comprueba:
el dominio,
el nombre de la empresa,
posibles errores,
letras sustituidas
y direcciones excesivamente extrañas.
Un estafador puede registrar una dirección que visualmente se parezca mucho a la auténtica.
Puede añadir palabras como:
seguridad,
pago,
verificacion,
cliente,
parking
o soporte.
La presencia del nombre de una empresa dentro de una dirección no demuestra que esa web pertenezca a la empresa.
El candado tampoco demuestra que la página sea legítima
Durante años se extendió el consejo:
«Si aparece el candado, la página es segura».
Es insuficiente.
Una web fraudulenta también puede utilizar HTTPS.
El cifrado protege la comunicación entre tu navegador y esa web.
No certifica que la persona que controla la página sea honesta.
Una página de phishing puede tener perfectamente:
HTTPS,
un candado
y un diseño profesional.
Lo importante es comprobar a qué dominio has llegado.
Desconfía si el QR te pide iniciar sesión
Imagina que escaneas un QR para consultar:
una carta,
un horario,
información turística
o una promoción.
De repente aparece una pantalla solicitando:
correo electrónico,
contraseña de Google,
cuenta de Microsoft
o credenciales bancarias.
Detente.
Pregúntate:
¿por qué este servicio necesita realmente que inicie sesión?
Una carta de restaurante no necesita tu contraseña de correo.
Un cartel informativo tampoco.
Cuando la acción solicitada no tiene sentido con el motivo por el que escaneaste el código, abandona la página.
Especial cuidado si aparece tu banco
Este escenario merece máxima precaución.
Un QR puede conducirte a una página que reproduce:
el logotipo,
los colores,
los botones
y el diseño
de una entidad financiera.
No introduzcas tus credenciales bancarias únicamente porque la web «parece» auténtica.
Si necesitas realizar una gestión bancaria:
cierra esa página y abre directamente la aplicación oficial de tu banco.
Así eliminas gran parte del riesgo de estar interactuando con una copia fraudulenta.
Un QR también puede aparecer en un correo electrónico
El quishing no necesita una pegatina física.
INCIBE ha detectado campañas de phishing en las que los delincuentes introducen códigos QR dentro de correos electrónicos fraudulentos.
El mensaje puede afirmar que:
tu contraseña va a caducar,
tu cuenta será suspendida,
hay un documento pendiente,
debes verificar Microsoft 365,
tienes una factura
o existe un problema de seguridad.
En lugar de ofrecer un enlace convencional, muestra un QR.
El usuario lo escanea con el teléfono.
Y abandona así el entorno del ordenador donde recibió el correo.
¿Por qué utilizar QR en un correo?
Porque cambia la forma en la que el usuario interactúa con el fraude.
El mensaje llega al ordenador.
Pero la página fraudulenta termina abriéndose en el móvil.
Además, determinados sistemas automáticos de seguridad pueden encontrar más difícil analizar el destino cuando está representado mediante una imagen en lugar de aparecer como un enlace convencional.
INCIBE ya ha documentado campañas empresariales que utilizaban precisamente esta estrategia.
Cuidado con los QR de supuestas multas
Otro contexto especialmente sensible es cualquier comunicación que combine:
QR + pago urgente.
Por ejemplo:
una supuesta multa,
un estacionamiento pendiente,
un peaje,
un impuesto
o una sanción.
La urgencia reduce nuestra capacidad de comprobar.
Antes de pagar, verifica la deuda entrando por tu cuenta en la web o aplicación oficial del organismo correspondiente.
No utilices como única referencia la dirección a la que te lleva el propio QR sospechoso.
El QR del parquímetro merece la misma precaución
Cada vez más servicios permiten pagar el estacionamiento desde el móvil.
Eso genera una situación perfecta para el fraude:
el usuario está en la calle,
quiere resolver el pago rápidamente
y tiene la tarjeta preparada.
Antes de introducir datos financieros, comprueba que estás utilizando el servicio realmente autorizado.
Si existe una aplicación oficial que ya utilizas habitualmente, puede resultar más prudente abrirla directamente.
Y si el QR parece añadido mediante una pegatina sospechosa, comunícalo al responsable del aparcamiento o servicio.
No instales una aplicación porque lo ordene un QR desconocido
Un código puede llevar a una página que asegure:
«Necesitas instalar esta aplicación para continuar».
Desconfía especialmente si pretende que descargues directamente un archivo fuera de las tiendas oficiales.
La instalación de aplicaciones procedentes de fuentes desconocidas aumenta el riesgo.
Si el servicio necesita una app, busca tú mismo su nombre en la tienda oficial correspondiente y comprueba:
desarrollador,
reseñas,
número de descargas
y datos del proveedor.
No dejes que una página desconocida decida qué software instalas en tu teléfono.
Los permisos son otra señal de alarma
Supongamos que terminas instalando una aplicación.
Empieza a solicitar:
acceso a SMS,
contactos,
funciones de accesibilidad,
micrófono,
cámara
o control amplio del dispositivo.
Pregúntate si esos permisos son coherentes con la función de la aplicación.
DS Alicante explica en su guía sobre cómo saber si un móvil ha sido hackeado que las aplicaciones desconocidas con permisos amplios son una de las situaciones que justifican revisar inmediatamente el dispositivo.
Una app para pagar un aparcamiento no debería necesitar controlar prácticamente todo tu teléfono.
¿Qué pasa si escaneas un QR y aparece una pantalla de pago?
No introduzcas automáticamente la tarjeta.
Comprueba primero:
qué empresa está cobrando,
qué importe,
qué concepto,
qué dominio aparece
y si esperabas realmente realizar ese pago.
Si algo no encaja, abandona.
Un diseño bonito no sustituye una comprobación.
Nunca entregues un código SMS para «confirmar tu identidad» sin leerlo
Este es uno de los pasos más peligrosos.
Introduces tus datos.
Después recibes un SMS.
La página dice:
«Introduce el código para verificar que eres tú».
Antes de hacerlo, lee el mensaje completo recibido por SMS.
Ese código puede estar autorizando:
una compra,
una transferencia,
el alta de una tarjeta,
un cambio de contraseña
o el acceso a una cuenta.
No lo introduzcas únicamente porque la página te lo pide.
Comprueba qué estás autorizando realmente.
La urgencia es una de las mayores señales de alarma
Los fraudes digitales intentan evitar que pensemos.
Por eso utilizan mensajes como:
«Tu cuenta será bloqueada en 10 minutos».
«Último aviso».
«Paga ahora para evitar una sanción».
«Actividad sospechosa detectada».
«Verifica inmediatamente».
INCIBE identifica precisamente la urgencia como una herramienta habitual de ingeniería social.
Cuando un mensaje intenta acelerar tu decisión, haz exactamente lo contrario:
frena.
Un QR recibido por WhatsApp tampoco merece confianza automática
Que el código llegue desde un contacto conocido no garantiza que sea seguro.
La cuenta de esa persona puede haber sido comprometida.
O simplemente puede haber reenviado algo sin comprobarlo.
DS Alicante ha informado de estafas de WhatsApp en las que los delincuentes suplantan identidades para pedir dinero.
La confianza en el remitente es precisamente uno de los elementos que utilizan muchas técnicas de ingeniería social.
Tampoco escanees un QR para «recibir dinero» sin entender la operación
Los pagos mediante QR pueden funcionar de maneras diferentes según la plataforma.
Antes de confirmar cualquier operación, lee exactamente qué aparece en la pantalla.
No presupongas que:
escanear = recibir dinero.
Puedes terminar autorizando un pago.
La misma regla se aplica a Bizum y otras operaciones financieras:
lee antes de confirmar.
Cómo saber si un QR es falso
No existe un método visual infalible mirando únicamente el dibujo.
Dos códigos QR pueden parecer prácticamente iguales y conducir a sitios completamente diferentes.
Por eso hay que analizar el contexto.
Desconfía especialmente si:
el código está pegado encima de otro,
el soporte parece manipulado,
la URL no corresponde al servicio esperado,
te pide datos que no debería necesitar,
solicita descargar software,
genera una urgencia artificial
o te lleva a una web bancaria desde un contexto que no tiene sentido.
¿Sirve Google Lens para comprobarlo?
Herramientas capaces de leer QR pueden mostrar la información codificada antes de que visites el destino.
Eso puede ayudarte a ver la dirección.
Pero siguen sin garantizar que una URL sea segura.
Tú debes comprobar el dominio.
No conviertas el lector de QR en un certificado de legitimidad.
Su función es interpretar el código.
No prometer que quien lo creó sea de confianza.
Qué hacer si ya has escaneado un QR sospechoso
Depende de lo que hayas hecho después.
Solo lo escaneaste
Si viste la dirección o abriste la página pero no:
introdujiste datos,
descargaste archivos,
instalaste aplicaciones,
concediste permisos
ni autorizaste operaciones,
el riesgo es generalmente menor.
Cierra la página.
No vuelvas a interactuar con ella.
Si se descargó algo automáticamente, no lo abras y elimínalo.
Introdujiste una contraseña
Cámbiala inmediatamente desde la web o aplicación oficial.
Si reutilizas esa misma contraseña en otros servicios, cámbiala también allí.
Activa la autenticación en dos pasos cuando esté disponible.
Revisa sesiones y dispositivos conectados.
Introdujiste datos bancarios
Contacta inmediatamente con tu banco utilizando sus canales oficiales.
Explica exactamente:
qué datos facilitaste,
dónde,
cuándo
y qué operaciones realizaste.
Revisa los movimientos.
Si procede, la entidad podrá indicarte si es necesario bloquear tarjetas o adoptar otras medidas.
Instalaste una aplicación
No sigas utilizándola.
Revisa sus permisos y, si es sospechosa, elimínala.
Comprueba posteriormente el teléfono y las cuentas importantes.
La guía de DS Alicante sobre cómo detectar si un móvil está hackeado explica qué señales y permisos conviene revisar.
Si has perdido dinero, guarda pruebas
No borres inmediatamente todo.
Conserva:
capturas,
mensajes,
correos,
fotografías del QR,
direcciones web,
movimientos bancarios,
justificantes
y cualquier comunicación con los responsables.
Si el QR era una pegatina física, fotografíalo sin manipularlo si puedes hacerlo con seguridad.
Esa información puede resultar útil para:
el banco,
el establecimiento afectado,
la plataforma suplantada
o una denuncia.
INCIBE ofrece ayuda gratuita en el 017
España dispone de la Línea de Ayuda en Ciberseguridad de INCIBE.
El número es:
017.
Está orientado a ciudadanos y empresas que necesiten ayuda relacionada con:
fraudes,
phishing,
cuentas comprometidas,
privacidad,
dispositivos
y otros problemas de ciberseguridad.
Si no sabes qué hacer después de haber facilitado información en una página sospechosa, puede ser un recurso especialmente útil.
También debes avisar al negocio si encuentras un QR manipulado
Imagina que descubres una pegatina falsa sobre la carta de un restaurante.
No basta con que tú no la escanees.
Otros clientes podrían hacerlo.
Comunícalo inmediatamente al establecimiento.
Lo mismo ocurre en:
aparcamientos,
hoteles,
máquinas,
comercios
o instalaciones públicas.
No retires ni manipules pruebas innecesariamente si sospechas que puede existir un fraude.
Avisa al responsable.
Los QR legítimos siguen siendo útiles
El objetivo no es dejar de escanear códigos QR.
Son una herramienta cómoda y perfectamente legítima.
Sirven para:
consultar información,
abrir cartas,
realizar pagos,
acceder a entradas,
identificarse
y compartir enlaces rápidamente.
El problema no está en la tecnología.
Está en confiar automáticamente en cualquier código que aparece delante de nosotros.
La regla de los cinco segundos
Antes de abrir un QR desconocido, dedica cinco segundos a comprobar:
1. ¿Dónde está colocado?
2. ¿Parece manipulado o hay otra pegatina debajo?
3. ¿Qué dirección muestra el móvil?
4. ¿El dominio corresponde realmente a la empresa?
5. ¿Tiene sentido lo que me pide después?
Es una comprobación mínima.
Pero puede detener una gran cantidad de fraudes.
Especial atención si después te llaman
Una estafa puede desarrollarse en varias fases.
Después de introducir datos en una web falsa, alguien podría llamarte fingiendo ser:
tu banco,
el servicio técnico,
una administración
o la empresa afectada.
El hecho de que conozca tu nombre o algunos datos no demuestra que sea legítimo.
Quizá acaba de obtenerlos precisamente del formulario que rellenaste.
No entregues códigos ni contraseñas.
Cuelga y llama tú mismo al número oficial.
Si aparecen movimientos extraños, no esperes
Si después de interactuar con un QR detectas:
cargos,
transferencias,
cambios de contraseña,
sesiones desconocidas
o pérdida de acceso a alguna cuenta,
actúa inmediatamente.
Contacta con el banco si existe dinero implicado.
Protege primero el correo electrónico si sospechas que tus credenciales han sido robadas.
Revisa también el móvil.
DS Alicante recoge los pasos esenciales en su guía sobre las señales de un teléfono comprometido y cómo proteger las cuentas.
Un cuadrado de píxeles no es un sello de confianza
Ese es probablemente el concepto más importante.
Un código QR no demuestra:
quién lo creó,
quién lo colocó,
qué página hay detrás
ni qué ocurrirá después de abrirlo.
Es simplemente una forma cómoda de almacenar información que el teléfono puede interpretar.
Los delincuentes pueden crear uno exactamente igual de fácil que cualquier empresa legítima.
Por eso debemos empezar a tratar los QR como tratamos los enlaces.
No abriríamos sin pensar cualquier enlace recibido por correo.
No deberíamos escanear y seguir cualquier QR únicamente porque esté pegado en una pared.
Mira el contexto.
Comprueba el dominio.
Y, sobre todo, no entregues información sensible hasta saber realmente dónde estás.
Author
Guarda esta noticia en Mi Panel
Añádela a tus favoritos para encontrarla después en tu espacio privado de lector.
Inicia sesión para guardar en favoritos
