Códigos QR fraudulentos: dónde se esconden y cómo evitarlos

Los códigos QR se han vuelto omnipresentes: en la carta del restaurante, en el parquímetro, en las facturas, en los carteles publicitarios o en las entradas de un concierto. Basta con apuntar la cámara del móvil para abrir una web, pagar o descargar una aplicación. Precisamente esa comodidad es lo que aprovechan los estafadores.

El fraude con códigos QR, a veces llamado quishing, consiste en hacer que escanees un código que te lleva a una web falsa o a una descarga maliciosa. Como no puedes leer a simple vista a dónde apunta un QR, es fácil caer si no se toman algunas precauciones.

Cómo funcionan las estafas con QR

Un código QR no es peligroso en sí mismo: solo contiene información, normalmente una dirección web. El problema es a dónde lleva. Los estafadores lo usan de varias formas:

• Pegatinas superpuestas. Colocan un QR falso encima del original en parquímetros, estaciones de recarga, carteles o mesas de restaurante.
• Correos y cartas. Envían mensajes que suplantan a bancos, organismos o empresas con un QR para verificar una cuenta o pagar una deuda. Al ser una imagen, el código puede esquivar algunos filtros que analizan los enlaces.
• Folletos y publicidad. Ofertas, sorteos o descuentos que llevan a webs que piden datos personales o bancarios.
• Descargas. Códigos que llevan a instalar aplicaciones fuera de las tiendas oficiales.

Los lugares donde más se ven

Señales de alerta

• El código es una pegatina colocada sobre otro código o sobre un cartel impreso.
• La dirección que muestra el móvil antes de abrirse no coincide con la empresa o el organismo.
• La web pide datos que no tienen sentido para lo que estás haciendo, como la tarjeta para ver una carta.
• El mensaje transmite urgencia: una multa a punto de duplicarse, una cuenta que será bloqueada.
• Se te pide instalar una aplicación desde un enlace en lugar de la tienda oficial.

Cómo escanear con seguridad

1. Mira la dirección antes de abrirla. La mayoría de cámaras muestran la URL en la pantalla al detectar el código. Léela con atención y fíjate en el dominio.
2. Examina el soporte. Si ves una pegatina sospechosa, no lo escanees y avisa al responsable.
3. Prefiere las vías oficiales. Para pagar aparcamiento, impuestos o facturas, usa la app oficial o escribe tú la dirección.
4. No introduzcas datos sensibles en webs a las que llegas por un QR si no estás totalmente seguro.
5. No instales aplicaciones desde enlaces de QR; búscalas en la tienda oficial.
6. Mantén el móvil actualizado, ya que los navegadores incluyen protecciones contra webs fraudulentas.

Los QR en documentos oficiales

Muchos documentos oficiales, como certificados o facturas, incluyen un código QR legítimo para verificar su autenticidad. Eso no significa que todo QR en un papel con apariencia oficial sea fiable. Si el código te lleva a pagar algo o a introducir datos bancarios, comprueba antes por tu cuenta en la sede oficial que la deuda o el trámite existen.

Qué hacer si has escaneado un QR fraudulento

Si solo has abierto la web y la has cerrado sin introducir nada, el riesgo suele ser bajo. Si has introducido datos de tarjeta, contacta de inmediato con tu banco por su teléfono oficial para bloquearla. Si has introducido contraseñas, cámbialas y activa la verificación en dos pasos. Si has instalado alguna aplicación, desinstálala y analiza el dispositivo. Guarda capturas y denuncia los hechos.

Si el QR estaba en la vía pública, como un parquímetro, avisa también al ayuntamiento o a la empresa responsable para que lo retiren y otras personas no caigan. Puedes consultar avisos y pedir orientación en el 017 del INCIBE.

Preguntas frecuentes

¿Escanear un QR puede infectar el móvil por sí solo?

En general, escanear el código solo muestra o abre una dirección. El riesgo aparece cuando visitas la web, introduces datos o descargas algo.

¿Es seguro pagar con QR en comercios?

Sí, cuando el QR lo genera el propio sistema de pago del comercio o tu app bancaria. La precaución es comprobar que el código no ha sido manipulado y que la web es la correcta.

¿Hay aplicaciones para comprobar los QR?

Algunos lectores muestran la dirección y avisan si es sospechosa, pero lo más eficaz sigue siendo leer la URL y desconfiar de peticiones de datos.