Si has escaneado un código QR malicioso, no te asustes: en la mayoría de los casos el escaneo por sí solo no hizo nada dañino. El riesgo real está en lo que pasó después. Cierra la página y comprueba si escribiste una contraseña, introdujiste datos de tarjeta, pagaste, instalaste una app o concediste permisos, y actúa en cada caso de inmediato.
Primero, averigua qué pasó realmente
Un código QR no es más que una forma de guardar texto, normalmente una dirección web. Cuando la cámara lo lee, el móvil suele mostrarte el enlace y esperar a que lo toques. Así que la pregunta importante no es "¿lo escaneé?", sino "¿qué hice después de escanearlo?".
Haz memoria y sé sincero contigo mismo. ¿Hiciste alguna de estas cosas?
- ¿Solo viste la vista previa y la cerraste sin abrir nada?
- ¿Abriste una página web pero no escribiste nada?
- ¿Escribiste un usuario, una contraseña o un código de un solo uso en una página de inicio de sesión?
- ¿Introdujiste datos de tarjeta, datos bancarios o información personal como tu número de documento o tu dirección?
- ¿Pagaste dinero, por ejemplo con un QR de pago o en una falsa página de aparcamiento o de entrega?
- ¿Descargaste e instalaste una app o un "perfil", o permitiste notificaciones?
Cada respuesta lleva a un paso distinto. Si solo viste la vista previa, casi seguro que no ha pasado nada. Si solo abriste una página y no escribiste nada, el riesgo es bajo, pero merece la pena hacer unas comprobaciones rápidas.
Paso a paso: qué hacer ahora mismo
Recorre esta lista desde el principio. Sáltate los pasos que no te afecten.
- Cierra la página y desconéctate si algo te da mala espina. Cierra la pestaña del navegador. Si empezó una descarga o el móvil se comporta de forma extraña, activa el modo avión mientras lo revisas.
- Cambia cualquier contraseña que hayas introducido. Hazlo desde la app oficial o escribiendo tú mismo la dirección real de la web, nunca desde un enlace de la página sospechosa. Si usas esa contraseña en otros sitios, cámbiala también allí.
- Activa la verificación en dos pasos. Añade una app de autenticación a la cuenta que acabas de proteger, para que una contraseña robada ya no sea suficiente. Nuestra guía de verificación en dos pasos explica cómo hacerlo.
- Llama a tu banco si compartiste datos financieros o pagaste. Usa el número que aparece en el reverso de la tarjeta o en la app oficial del banco. Pídeles que bloqueen la tarjeta, que vigilen movimientos inusuales y que te digan si se puede reclamar o anular un pago. Aquí la rapidez es clave.
- Elimina todo lo que hayas instalado. Borra apps desconocidas, perfiles de configuración o extensiones del navegador. En Android, comprueba que ninguna app desconocida tenga acceso de accesibilidad o de administrador del dispositivo. Retira en los ajustes del navegador los permisos de notificación que diste a webs extrañas.
- Cierra las demás sesiones. Muchos servicios, como el correo y las redes sociales, te permiten ver las sesiones activas y cerrar sesión en todos los demás dispositivos. Hazlo después de cambiar la contraseña.
- Actualiza el móvil y haz una revisión de seguridad. Instala las actualizaciones del sistema pendientes. En Android, ejecuta Google Play Protect; en cualquier móvil, revisa las apps instaladas recientemente.
- Denúncialo. Avisa al banco, al servicio que suplantaron y, cuando proceda, a la policía o al canal nacional de denuncia de ciberdelitos o de protección al consumidor. Si el código QR estaba en un cartel o un parquímetro, avisa al negocio o a la administración responsable para que lo retiren.
Si introdujiste una contraseña o un código de un solo uso
Las páginas de phishing detrás de los códigos QR suelen copiar una pantalla de inicio de sesión conocida, como la de un proveedor de correo, una empresa de mensajería o un banco. Los atacantes suelen probar los datos robados enseguida, a veces en cuestión de minutos.
Después de cambiar la contraseña, revisa la cuenta en busca de cambios:
- Nuevas reglas de reenvío o filtros en tu correo
- Un teléfono o un correo de recuperación cambiados
- Dispositivos o ubicaciones desconocidos en el historial de seguridad o de inicios de sesión
- Mensajes enviados desde tu cuenta que tú no escribiste
Si escribiste en la página falsa un código de un solo uso recibido por SMS o generado por una app de autenticación, da por hecho que el atacante puede haberlo usado para entrar. Cambia la contraseña, cierra todas las sesiones y revisa la configuración de recuperación de inmediato.
Si pagaste o compartiste los datos de tu tarjeta
Contacta con tu banco o tu proveedor de monedero electrónico por los canales oficiales lo antes posible. Explica que te engañaron mediante un código QR, indica la hora y el importe y sigue sus instrucciones. Guarda capturas de pantalla de la confirmación del pago, del nombre del destinatario que aparecía y de la página a la que llegaste.
Revisa también tus extractos durante las semanas siguientes. A veces los estafadores prueban una tarjeta con un cargo pequeño antes de intentar uno mayor. Si compartiste tu número de documento o tu dirección, ten especial cuidado con llamadas, mensajes o correos que parezcan "conocerte", porque esa información puede hacer más creíbles estafas posteriores.
Para los códigos QR de pago en concreto, lee cómo pagar con código QR de forma segura, donde explicamos cómo comprobar el nombre del destinatario antes de confirmar.
Si instalaste una app o un perfil
Las apps instaladas fuera de las tiendas oficiales, y los perfiles de configuración en iPhone, pueden usarse para espiar tu actividad o robar datos. Elimínalos primero y después revisa:
- Los ajustes de gestión del dispositivo o de perfiles, y borra todo lo que no reconozcas
- Los permisos de accesibilidad y de administrador del dispositivo en Android, que las apps maliciosas suelen pedir
- Los permisos de notificación del navegador, que las webs fraudulentas usan para mostrar falsos avisos
Si no puedes eliminar algo, o el móvil no deja de mostrar ventanas emergentes, haz una copia de seguridad de tus fotos y datos importantes y plantéate restablecer el dispositivo de fábrica. Después, vuelve a instalar las apps solo desde la tienda oficial.
Cómo evitarlo la próxima vez
Las estafas con QR funcionan porque el código oculta el destino. Unos cuantos hábitos cierran esa brecha:
- Lee el enlace de la vista previa antes de tocarlo. Revisa bien el dominio en busca de faltas de ortografía o palabras de más.
- Desconfía de los códigos QR pegados encima de otros códigos, sobre todo en parquímetros, carteles y terminales de pago.
- No inicies sesión ni pagues nunca en una página a la que llegaste desde un código QR que no esperabas. Abre la app oficial.
- Considera la urgencia una señal de alarma. "Paga ya para evitar una multa" o "tu paquete será devuelto" son tácticas de presión clásicas.
Si tienes dudas sobre un código, puedes escanear el código QR online con QR-TH primero. Lee el código en tu navegador y te muestra el destino antes de que se abra nada, para que decidas con calma. Para más señales de alerta, consulta nuestra guía sobre estafas con códigos QR y quishing.
Preguntas frecuentes
¿Escanear un código QR puede hackear mi móvil por sí solo?
Es muy poco probable. En un móvil actualizado, escanear normalmente solo muestra un texto o un enlace. El daño suele venir de abrir una página maliciosa y luego introducir información, pagar o instalar algo.
Abrí el enlace pero no escribí nada. ¿Estoy a salvo?
El riesgo es bajo. Cierra la página, retira los permisos de ese sitio si concediste alguno y mantén el móvil y el navegador actualizados. Si se descargó algo, bórralo sin abrirlo.
¿Debería restablecer el móvil de fábrica?
Solo si instalaste algo que no puedes eliminar o si el móvil sigue comportándose de forma anormal después de limpiarlo. Si te robaron contraseñas o datos de tarjeta, restablecerlo no sirve; lo que ayuda es cambiar las contraseñas y llamar a tu banco.
¿Dónde denuncio una estafa con código QR?
Avisa a tu banco si hay dinero de por medio, a la empresa suplantada y a la policía o al servicio oficial de denuncia de fraudes de tu país. Si el código estaba en un cartel público, informa a su propietario.
Un escaneo sospechoso genera estrés, pero actuar rápido limita el daño en casi todos los casos. La próxima vez que un código te parezca raro, compruébalo antes de abrirlo: prueba el lector online gratuito de QR-TH para ver exactamente adónde lleva un código QR.