Seguridad con códigos QR: cómo detectar el «quishing» y protegerte
Un código QR es una puerta: no te dice a dónde lleva hasta que la abres. Esa opacidad es la que aprovechan los estafadores. El quishing —phishing mediante códigos QR— consiste en colocar un código que lleva a una página falsa o a una descarga maliciosa. Las autoridades y los organismos de ciberseguridad vienen advirtiendo de su crecimiento desde que los QR se generalizaron.
Cómo funcionan las estafas con QR
- Pegatinas superpuestas: un código falso pegado sobre el legítimo en un parquímetro, un cartel de alquiler, una carta de restaurante o un cajero. Lleva a una página de pago idéntica a la real que roba la tarjeta.
- Correos y cartas con QR: «tu paquete está retenido», «verifica tu cuenta bancaria», «actualiza tus datos». El QR evita que los filtros de correo analicen el enlace.
- Falsos códigos de «ofertas» o sorteos: llevan a formularios que piden datos personales o a la instalación de una aplicación.
- Autenticación y pagos: páginas que imitan el inicio de sesión de tu banco, tu correo o una plataforma de pago.
- Descargas: un QR que inicia la descarga de un archivo (.apk, instaladores) es muy peligroso en el móvil.
Señales de alerta antes de abrir
- El contexto es sospechoso. ¿Esperabas este código? ¿Por qué canal ha llegado? Un QR inesperado en un correo, un mensaje o una carta que dice ser de tu banco es casi siempre fraude.
- Parece una pegatina. Bordes levantados, papel distinto al del soporte, tamaño distinto al resto de carteles. Pásale el dedo: si se despega, no lo uses.
- Hay urgencia o amenaza. «Último aviso», «bloqueo de cuenta», «paga ahora o sanción».
- El destino no cuadra. Mira la dirección que muestra el móvil antes de abrir: debería ser el dominio de la empresa. Una dirección distinta, con muchos subdominios o letras raras es señal de alerta.
- Usa un acortador. Los enlaces bit.ly, tinyurl y similares ocultan el destino real.
- Pide datos o pagos inmediatamente, sobre todo contraseñas, códigos SMS, tarjeta o DNI.
Cómo ver a dónde lleva un código sin abrirlo
- La cámara de la mayoría de móviles muestra una vista previa de la dirección: léela entera antes de tocar.
- Con el lector online, sube una captura o foto del código y verás el contenido exacto y el dominio de destino, con avisos si es un acortador, una IP, un enlace sin cifrar o un dominio con caracteres internacionales. No abre nada por ti.
Buenas prácticas
- No introduzcas contraseñas ni datos de pago tras escanear un QR de origen desconocido. Accede a tu banco o servicio escribiendo su dirección o desde su app oficial.
- Para pagar un parquímetro u otros servicios en la calle, usa la app oficial del servicio.
- No instales aplicaciones desde enlaces de un QR.
- Activa la verificación en dos pasos en tus cuentas importantes.
- Mantén el sistema y el navegador actualizados.
Si ya has escaneado y has introducido datos
- Cambia inmediatamente la contraseña de la cuenta afectada (y de otras donde la repitas).
- Llama a tu banco si has introducido datos de tarjeta; pide bloquearla y revisar los movimientos.
- Si has instalado una aplicación, desinstálala, revisa los permisos y pasa un análisis de seguridad del móvil.
- Denuncia el fraude ante la Policía Nacional o la Guardia Civil y avisa a la entidad suplantada.
Si publicas códigos QR (negocios)
- Imprime los códigos en lugares que controles y revísalos con frecuencia, en busca de pegatinas superpuestas.
- Usa tu propio dominio como destino, con HTTPS, para que el usuario reconozca la dirección.
- No uses acortadores de terceros: generan desconfianza y pueden desaparecer.
- Añade a tu cartelería la dirección en texto: permite comprobar que coincide con lo que abre el código.
Por estos motivos, en Taller QR solo generamos códigos estáticos, sin redirecciones ni acortadores, y no ofrecemos códigos de pago ni de criptomonedas.