Una estafa con código QR, a menudo llamada quishing, usa un código QR para llevarte a una web falsa que roba contraseñas, datos de tarjeta o dinero. Como un QR no se puede leer a simple vista, los estafadores esconden enlaces maliciosos dentro. La mejor defensa es sencilla: revisa siempre la vista previa del enlace antes de abrirlo o de pagar.
Los códigos QR son cómodos, y precisamente por eso les gustan a los delincuentes. Así funciona el quishing y así puedes reconocerlo.
Qué es el quishing
Quishing es una mezcla de "QR" y "phishing". El phishing es cualquier engaño en el que alguien se hace pasar por una organización de confianza, como un banco, una empresa de mensajería o un organismo público, para que le entregues información delicada. El quishing hace lo mismo, pero el enlace falso llega a través de un código QR en lugar de un enlace en el que se hace clic.
A los estafadores les funciona por varios motivos:
- No ves el enlace. Un código QR tiene el mismo aspecto tanto si lleva a tu banco como a una copia falsa.
- Te lleva al móvil. En una pantalla pequeña cuesta más revisar la barra de direcciones o notar un dominio con una letra cambiada.
- Puede esquivar los filtros. Los filtros de correo y de mensajes detectan bien los enlaces sospechosos en el texto, pero un enlace escondido en una imagen es más difícil de atrapar.
- Confiamos en los QR. Los escaneamos a diario en bares y tiendas, así que casi nunca nos paramos a pensar.
Organismos de protección al consumidor y bancos de muchos países han advertido al público sobre el fraude con códigos QR, sobre todo los códigos falsos en parquímetros, carteles de pago y correos electrónicos.
Dónde aparecen las estafas con QR
El quishing puede aparecer casi en cualquier lugar donde se espera un código QR. Los sitios más habituales son:
- Pegatinas en objetos públicos. Un código falso pegado encima del auténtico en un parquímetro, un punto de recarga de coches eléctricos, una estación de bicis de alquiler o una parada de autobús.
- Mostradores de pago. Un QR de pago sustituido en una tienda o un puesto de mercado que envía el dinero al estafador en vez de al comercio.
- Correos electrónicos. Mensajes que dicen que tu contraseña va a caducar, que tienes que firmar un documento o que tu cuenta está bloqueada, con un QR para "solucionarlo".
- Cartas y avisos de paquetería. Falsos avisos de entrega fallida o cartas con aspecto oficial que piden escanear y pagar una pequeña tasa.
- Folletos y carteles. Ofertas demasiado buenas para ser verdad, como regalos gratis o descuentos enormes, que llevan a una tienda falsa o a un formulario para recopilar datos.
- Redes sociales y chats. Códigos compartidos en grupos o mensajes privados, a menudo con prisas.
Si quieres ver escenarios reales con más detalle, consulta nuestra guía de estafas habituales con códigos QR.
Señales de alarma de un código QR falso
No hacen falta conocimientos técnicos para detectar la mayoría de las estafas con QR. Fíjate en estas señales:
- Una pegatina encima de otro código. Pasa el dedo por el código. Si notas relieve, si se despega por los bordes o si parece más nuevo que el cartel que lo rodea, sospecha.
- Un enlace que no cuadra. La vista previa muestra un dominio que no es el oficial de la organización, con una ortografía rara o una larga ristra de caracteres sin sentido.
- Prisas o amenazas. "Tu cuenta se cerrará hoy" o "paga en menos de una hora" es una táctica de presión clásica.
- Peticiones de contraseñas o datos de tarjeta. Un parquímetro, una carta de restaurante o un aviso de paquete casi nunca necesitan la clave de tu banco.
- Una descarga de app que no esperabas. Ten muchísimo cuidado si un QR te pide instalar una app, sobre todo fuera de la tienda oficial.
- Un QR en un correo que te pide iniciar sesión. Los servicios legítimos suelen dejarte entrar visitando directamente su web o su app.
- Un nombre de destinatario incorrecto al pagar. Si el nombre que muestra tu app bancaria no es el de la tienda a la que pagas, detente.
Cómo protegerte de las estafas con QR
Unos buenos hábitos le restan mucha eficacia al quishing. Esta es una lista práctica:
- Lee primero la vista previa. La cámara te muestra el enlace antes de abrirlo. Dedica dos segundos a leer el dominio.
- Ve directo si dudas. En lugar de escanear, escribe tú mismo la dirección web de la empresa o abre su app oficial.
- Comprueba el destinatario antes de pagar. Las apps bancarias muestran quién va a recibir el dinero. Confirma que coincide con el negocio. Nuestra guía sobre cómo pagar con QR de forma segura lo explica en detalle.
- No escribas nunca contraseñas tras escanear un código desconocido. Si una página te pide iniciar sesión, ciérrala y entra desde la app oficial.
- Activa la verificación en dos pasos. Aunque te roben una contraseña, una app de autenticación añade una segunda barrera.
- Mantén el móvil actualizado. Las actualizaciones de seguridad corrigen fallos que una página maliciosa podría intentar aprovechar.
- Usa un lector que muestre el destino. Cuando tengas dudas, escanea el código con una herramienta que te enseñe adónde lleva antes de abrir nada.
En QR-TH, cada enlace corto se comprueba con Google Safe Browsing al crearse y se vuelve a revisar cada noche. Además, los visitantes pueden ver una página de carga que muestra adónde va el enlace antes de abrirlo. Las herramientas así ayudan, pero funcionan mejor junto con tu propio sentido común.
Qué hacer si escaneaste un QR falso
Si te das cuenta de que has abierto una página sospechosa, actúa rápido pero con calma:
- Cierra la página y no escribas nada más.
- Si introdujiste una contraseña, cámbiala de inmediato en la web auténtica y en cualquier otro sitio donde uses la misma.
- Si diste datos de tarjeta o bancarios, llama enseguida a tu banco usando el número de tu tarjeta o el de su app oficial.
- Si instalaste una app, desinstálala y pasa el análisis de seguridad del móvil.
- Avisa al negocio o al lugar para que retire el código y, si perdiste dinero, denúncialo ante las autoridades.
Nuestra guía paso a paso sobre qué hacer después de escanear un código QR malicioso lo explica con más profundidad.
Consejos para negocios
Si muestras códigos QR, puedes ponérselo más difícil a los estafadores. Revisa con frecuencia los códigos impresos por si tienen pegatinas, enseña a tu equipo a detectar manipulaciones y usa códigos QR dinámicos en un dominio que controles, para ver estadísticas de escaneo y actualizar los enlaces rápidamente. Imprimir el nombre de tu negocio junto a los códigos de pago también ayuda a que los clientes confirmen que pagan a quien deben.
Preguntas frecuentes
¿Escanear un código QR puede hackear mi móvil?
Escanear un QR por sí solo no hackea tu teléfono. El peligro está en lo que haces después: visitar una web falsa, introducir datos o instalar una app. Revisa siempre el enlace antes de abrirlo.
¿Cómo sé si un código QR es falso?
Busca pegatinas colocadas encima de otros códigos, lee con atención la vista previa del enlace y desconfía de cualquier página que pida contraseñas, datos de tarjeta o un pago urgente. Si dudas, entra directamente en la web oficial.
¿Son seguros los códigos QR que llegan por correo?
Trátalos con especial cuidado. Un QR en un correo que te pide iniciar sesión, verificar una cuenta o pagar una tasa es un truco de phishing muy común. Accede directamente al servicio en lugar de escanearlo.
¿Dónde denuncio una estafa con código QR?
Avisa al negocio o al lugar donde encontraste el código, contacta con tu banco si hay dinero o datos de tarjeta de por medio y denúncialo ante la policía o el organismo de consumo de tu país.
El quishing se aprovecha de que escaneamos sin pensar. Una pausa de dos segundos para leer el enlace suele bastar para estar a salvo. La próxima vez que dudes de un código, usa el lector de QR online de QR-TH para ver adónde lleva de verdad antes de abrirlo.