La manipulación de códigos QR consiste en pegar un código falso encima del código auténtico de un negocio, de modo que los clientes que lo escanean acaban en una página fraudulenta o pagan a la cuenta equivocada. Las tiendas se protegen revisando los códigos con regularidad, usando materiales que delatan la manipulación, colocando los códigos a la vista del personal y usando enlaces dinámicos que pueden vigilar y cambiar.
Cualquier código QR impreso en un lugar público puede ser objetivo: los códigos de pago del mostrador, los de la carta en las mesas, los de carteles, señales de aparcamiento o vehículos de reparto. La buena noticia es que unos pocos hábitos sencillos hacen que la manipulación sea mucho más fácil de detectar y mucho menos eficaz.
Cómo funciona la manipulación de códigos QR
El método más habitual es de baja tecnología. Un delincuente imprime un código QR falso en una pegatina del tamaño adecuado y la coloca encima del auténtico. Para un cliente con prisa, todo parece normal.
El código falso puede:
- Abrir una web clonada que pide datos de tarjeta, contraseñas o información personal.
- Mostrar un QR de pago de otra cuenta, de modo que el dinero va al estafador en lugar de a la tienda.
- Llevar a una página que presiona al visitante para descargar una app o un archivo.
Organismos de protección al consumidor y bancos de varios países han alertado sobre pegatinas QR falsas en parquímetros, soportes de pago y carteles públicos. Para un negocio, el daño es doble: los clientes pierden dinero y a menudo culpan a la tienda donde escanearon.
Señales de que un código ha sido manipulado
Enseña a tu equipo a fijarse en estas señales de alarma:
- Una pegatina con bordes levantados, burbujas o un tamaño ligeramente distinto del original.
- Un código que parece más nuevo, más brillante o de otro color que el resto del cartel.
- Un segundo código colocado junto al original con un mensaje atractivo como "escanea aquí para obtener un descuento".
- Daños, arañazos o restos de pegamento alrededor de la zona del código.
- Clientes que comentan una página extraña, una petición de inicio de sesión o un nombre de cuenta desconocido al pagar.
Escanear es la mejor prueba. Cuando escaneas tu propio código, el destino debe ser exactamente el enlace que esperas o, en un código de pago, el nombre correcto del destinatario.
Una rutina diaria de revisión de códigos QR
Una vez convertida en rutina, la revisión lleva menos de un minuto por código. Esta es una lista sencilla:
- Ten una lista de todos los códigos QR que tienes expuestos, con su ubicación y su destino previsto.
- Mira y toca cada código al abrir. Pasa el dedo por encima para notar si hay una capa de pegatina adicional.
- Escanea una muestra con el móvil de algún empleado, idealmente uno distinto cada día, y confirma el destino.
- Revisa los códigos de pago confirmando que el nombre del destinatario que muestra la app bancaria coincide con tu negocio.
- Retira de inmediato cualquier cosa inesperada y guárdala como prueba, fotografiándola antes en su sitio si es posible.
- Anota la revisión en un registro sencillo con la fecha y las iniciales, para que se noten los huecos.
Una herramienta online como nuestro lector de códigos QR muestra el destino antes de abrirlo, lo que facilita confirmar un enlace sin visitar una página de la que no te fías.
Pónselo difícil a quien quiera manipular tus códigos
Algunas decisiones físicas hacen que una pegatina superpuesta sea más evidente o más difícil de colocar.
- Imprime el código integrado en el diseño de tu cartel o tarjetón en lugar de usar una pegatina aparte. Así, cualquier pegatina añadida destaca.
- Usa material de etiqueta de seguridad o destructible para los códigos que tengan que ser pegatinas. Se rompen o muestran un dibujo si alguien intenta despegarlas o taparlas.
- Coloca los códigos detrás de un metacrilato transparente o dentro de un marco para que no se pueda pegar nada directamente encima.
- Añade el nombre de tu negocio y una frase breve junto al código, por ejemplo "Paga solo a: Nombre de tu tienda". Así los clientes saben qué esperar.
- Mantén los códigos a la vista del personal. Los códigos del mostrador son mucho más difíciles de manipular que los de un cartel exterior sin vigilancia.
- Evita los códigos duplicados. Cuantos más códigos expongas, más tendrás que revisar.
Usa enlaces dinámicos que puedas vigilar
Un código QR dinámico apunta a un enlace corto que redirige a tu página. Eso te da un control muy útil:
- Puedes cambiar el destino en cualquier momento sin reimprimir, algo útil si tu web cambia de dirección o una página se ve comprometida.
- Las estadísticas de escaneo muestran el patrón normal. Una caída repentina de escaneos en una ubicación puede indicar que han tapado el código con uno falso.
- Los enlaces cortos con marca son reconocibles. Los clientes pueden comprobar que el enlace coincide con lo que esperan.
En QR-TH, los códigos dinámicos usan un enlace corto qr-th.com/r/, y cada enlace se comprueba con Google Safe Browsing y se vuelve a revisar cada noche. Además, los visitantes pueden ver una página de carga que muestra adónde va el enlace antes de abrirlo. Estas funciones no impiden que alguien pegue una pegatina falsa en tu cartel, pero te ayudan a detectar problemas y a mantener limpios tus propios enlaces.
Los códigos QR de pago requieren más cuidado
Los códigos de pago son el objetivo más atractivo, porque un cambio con éxito envía el dinero directamente al delincuente.
- Pide a los clientes que comprueben el nombre del destinatario en su app bancaria antes de confirmar, e indícalo en el cartel.
- Siempre que puedas, muestra un QR de pago dinámico en una pantalla o un terminal en lugar de una pegatina impresa fija.
- Si usas un QR de PromptPay impreso, revísalo cada día y tenlo cerca de la caja.
- Si un cliente te dice que ha pagado a otro nombre, deja de usar ese código de inmediato y contacta con tu banco.
Nuestra guía sobre cómo pagar con QR de forma segura explica qué deben comprobar los clientes antes de pagar.
Qué hacer si encuentras un código falso
- Retira la pegatina falsa y guárdala. Haz fotos antes y después.
- Revisa enseguida todos tus demás códigos, porque pueden haber sustituido más de uno.
- Pon un aviso breve para los clientes que hayan podido escanearlo, explicando qué deben vigilar.
- Denuncia el incidente a la policía y, si se trata de códigos de pago, a tu banco.
- Sustituye el código por uno recién impreso y replantéate dónde está colocado.
Preguntas frecuentes
¿Cómo sé si una pegatina con código QR es falsa?
Busca bordes levantados, un tamaño o un acabado distintos y cualquier cosa colocada encima del original. Después escanéalo y confirma que el destino o el nombre del destinatario del pago coinciden con tu negocio.
¿Un código QR dinámico impide la manipulación?
No. Se puede pegar una pegatina encima de cualquier código impreso. Un código dinámico te ayuda a vigilar los escaneos y a cambiar el destino rápidamente, lo que hace que los problemas sean más fáciles de detectar y de solucionar.
¿Cada cuánto debo revisar mis códigos QR?
Lo ideal es revisar a diario los códigos situados en zonas públicas o concurridas, preferiblemente al abrir. Los que están en zonas solo para el personal o vigiladas pueden revisarse con menos frecuencia.
¿Qué deben comprobar los clientes antes de pagar con QR?
Deben confirmar que el nombre del destinatario y el importe que aparecen en su app bancaria coinciden con la tienda antes de aprobar el pago.
Proteger los códigos QR impresos es sobre todo cuestión de rutina: saber dónde están tus códigos, revisarlos a menudo y hacer que los falsos sean fáciles de detectar. Crea códigos dinámicos con seguimiento usando el generador de códigos QR gratis de QR-TH y aprovecha las estadísticas de escaneo para vigilar cada ubicación.