Cómo detectar códigos QR falsos y evitar estafas: guía práctica

Los códigos QR están por todas partes. Son un método cómodo y sencillo para acceder a una web, descargar una aplicación o consultar el menú en un restaurante. Pero también es algo que utilizan los piratas informáticos para lanzar ataques y poder robar contraseñas, datos personales o infectar el dispositivo con un malware. Es importante que sigas una serie de consejos y evites así estafas, en caso de que vayas a escanear este tipo de códigos.

El auge de los códigos QR tras la pandemia los ha convertido en un objetivo habitual para los ciberdelincuentes. La técnica, conocida como quishing (QR phishing), consiste en sustituir códigos legítimos por otros maliciosos que redirigen a sitios web falsos o descargan malware sin que el usuario lo note.

Dónde puedes encontrarte con códigos QR fraudulentos

Podrías encontrarte con códigos de este tipo en muchos sitios:

• Correos electrónicos: como archivos adjuntos o imágenes incrustadas que suplantan a entidades legítimas.

• Redes sociales y mensajería: imágenes que te llegan por WhatsApp, Instagram o cualquier otra red.

• Restaurantes y bares: pegatinas sobre el código original en la mesa.

• Lugares públicos concurridos: aeropuertos, estaciones de tren, centros comerciales, carteles en la calle o universidades.

• Sobres de paquetes y documentos oficiales: suplantando a empresas de mensajería como Correos o FedEx.

Los ciberdelincuentes colocan sus propios códigos QR sobre los legítimos en lugares públicos, o los envían por correo y redes sociales haciéndose pasar por entidades de confianza.

Cómo detectar un código QR falso

1. Observa señales de manipulación física

Lo primero es observar posibles señales de manipulación. Por ejemplo, podrías estar en un restaurante y tener que escanear un QR para ver el menú. Al observar ese QR, podría tratarse de una pegatina que han puesto encima del original. Revisa detalles como que se aprecie que está sobrepuesto encima de otro, que no corresponde con el entorno en el que está o que tiene bordes irregulares.

Si notas cualquier cosa extraña, que te haga sospechar, lo mejor es que no escanees ese código. Cualquier indicio de manipulación debería ser motivo suficiente para evitar escanearlo, ya que podría ser una trampa que ponga en riesgo tu seguridad y privacidad.

2. Revisa siempre la URL antes de abrirla

La mayoría de los lectores de QR (especialmente los de los sistemas operativos móviles) muestran una previsualización de la URL antes de abrirla. No des por hecho que la URL es segura solo porque el código parezca legítimo.

Señales de una URL sospechosa:

• Nombre de dominio extraño, largo o sin sentido.

• URL acortada (bit.ly, tinyurl) sin contexto.

• Errores tipográficos en el nombre de una marca conocida (ej: amaz0n.com en lugar de amazon.com).

• Dominios que no coinciden con la empresa que debería estar detrás del código.

3. Desconfía si pide iniciar sesión o poner datos personales

Un código QR legítimo para ver un menú de restaurante no te pedirá nunca tu correo electrónico, número de teléfono o datos bancarios. Si al escanear el código te encuentras con un formulario solicitando información personal, es una señal de alarma. Cierra la página inmediatamente.

Datos que nunca debes introducir tras escanear un QR:

• Contraseñas

• Números de tarjeta de crédito

• Número de identificación (DNI, pasaporte)

• Códigos de verificación

• Dirección de correo electrónico (en contextos no justificados)

4. No descargues archivos sospechosos

Si al escanear un QR el navegador comienza a descargar un archivo (especialmente un .apk en Android o un perfil de configuración en iOS), cancela la descarga inmediatamente. Esta es una de las técnicas más utilizadas para distribuir malware a través de códigos QR.

Tipos de archivos peligrosos:

• .apk (Android)

• .exe (Windows)

• Perfiles de configuración (iOS y Android)

• Documentos con macros activas (.docm, .xlsm)

5. Atención a la urgencia o amenazas

Los atacantes suelen incluir mensajes de urgencia en el texto que acompaña al QR: «Tu cuenta será suspendida en 24 horas», «Paquete retenido en aduanas» o «Verifica tu identidad ahora». Esta presión es un clásico del phishing. Ninguna empresa legítima te pedirá que actúes con urgencia a través de un código QR.

Ejemplos reales de estafas con códigos QR

• Estacionamiento falso: Pegatinas con QR colocadas en parquímetros que redirigen a una web de pago falsa. La víctima introduce sus datos bancarios para pagar el estacionamiento y los atacantes roban la información.

• Menú de restaurante manipulado: Sustituyen el QR del menú por otro que lleva a una página con ofertas falsas. Al hacer clic en «ver oferta», piden datos personales.

• Correo de Correos o Amazon: Un QR en un correo que simula ser de la empresa de mensajería. Al escanearlo, se descarga malware o se abre una página de phishing.

• Perfiles de configuración en iOS: Atacantes generan códigos QR que instalan perfiles de configuración en iPhone, tomando control parcial del dispositivo .

Preguntas frecuentes sobre códigos QR y seguridad

1. ¿Cómo puedo saber si un código QR es seguro?
Observa si hay señales de manipulación física, revisa la URL antes de abrirla y desconfía si te piden datos personales. La previsualización de la URL en tu lector de QR es tu mejor aliada.

2. ¿Qué debo hacer si ya he escaneado un QR sospechoso?
Si introdujiste datos, cambia tus contraseñas inmediatamente. Si descargaste un archivo, no lo abras y elimínalo. Si crees que has instalado malware, realiza un análisis con un antivirus y, en casos graves, restaura el dispositivo a valores de fábrica.

3. ¿Qué es «quishing»?
Es una variante del phishing que utiliza códigos QR en lugar de enlaces o archivos adjuntos para dirigir a las víctimas a sitios web maliciosos. El término proviene de «QR» + «phishing».

4. ¿Los códigos QR en los menús de los restaurantes son seguros?
En general sí, pero verifica que no haya una pegatina sobrepuesta. Si el código está impreso en el propio menú o en un soporte fijo sin posibilidad de manipulación, es más seguro.

Recuerde que…

Los códigos QR son una herramienta cómoda, pero también una puerta de entrada para los ciberdelincuentes. La técnica del quishing está en auge y aprovecha la confianza que los usuarios depositan en estos códigos para robar información o infectar dispositivos.

La seguridad al escanear un QR se reduce a unos pocos segundos de atención: observa si hay manipulación, revisa la URL antes de abrirla, desconfía si pide datos personales y no descargues archivos sospechosos. Con estos hábitos, reducirás drásticamente el riesgo de caer en una estafa.

Si quieres profundizar en temas de ciberseguridad y protección de datos, te invitamos a explorar más contenidos en fernandojuca.com y a suscribirte al canal de youtube.com/fernandojucamaldonado, donde encontrarás análisis y recursos para mantenerte seguro en el mundo digital.

Fernando Juca Maldonado

Ingeniero en Sistemas de Información y docente universitario en el área de tecnología. Especialista en el desarrollo de sitios web, plataformas e-commerce y entornos virtuales de aprendizaje basados en Moodle. Experiencia en soluciones tecnológicas aplicadas a la educación y a la transformación digital de organizaciones.