Desde la pandemia, los códigos QR están en todas partes: la carta del restaurante, el parqueadero, el pago en la tienda, el wifi del hotel. Y donde hay costumbre, hay estafa. El quishing (phishing con códigos QR) consiste en esconder un enlace malicioso dentro de un QR para que llegues a una página falsa sin sospechar nada, porque a simple vista todos los códigos se ven iguales.
Lo que advierten el FBI y la FTC
El FBI publicó en enero de 2022 la alerta I-011822-PSA: los delincuentes estaban pegando códigos QR falsos encima de los originales en lugares públicos y enviando QR maliciosos por correo, para llevar a las víctimas a páginas que robaban sus datos de acceso y financieros, o que instalaban programas maliciosos.
En diciembre de 2023, la Comisión Federal de Comercio (FTC) de Estados Unidos insistió en lo mismo y describió los engaños más comunes: códigos falsos en parquímetros, mensajes que dicen que hubo un problema con tu entrega o con tu cuenta, y correos que te piden escanear un QR para “verificar” algo.
Cómo se ve la estafa en la vida real
| Dónde aparece | Qué pasa |
|---|---|
| Calcomanía sobre el QR de un parqueadero o parquímetro | Te lleva a una página de pago falsa que se queda con los datos de tu tarjeta |
| Carta de restaurante o mesa de un local | El código original fue tapado con otro que lleva a un formulario de “inicio de sesión” |
| Correo o mensaje de un supuesto banco o empresa de envíos | El QR evita que los filtros de correo detecten el enlace malicioso |
| Volante o afiche con premios, descuentos o wifi gratis | Te pide descargar una app o dar tus datos |
Por qué es tan fácil caer
- No puedes leer un QR a simple vista: no sabes a dónde lleva hasta que lo escaneas.
- Lo hacemos en automático, sin pensarlo.
- En el celular la dirección web se ve cortada y es difícil revisarla.
- Muchos filtros de correo revisan enlaces, pero no siempre leen imágenes con QR.
Señales que sí puedes notar
- Una calcomanía pegada encima de otra, con bordes levantados o mal alineada.
- Una dirección web rara en la vista previa: letras cambiadas, dominios extraños o acortadores de enlaces.
- Te pide iniciar sesión, pagar o descargar una app cuando solo querías ver una carta.
- Llega por correo o mensaje sin que lo esperaras y tiene prisa (“verifica en 24 horas”).
Cómo usarlos con cabeza
- Lee la dirección que muestra la cámara antes de abrirla.
- Para pagar, usa la app oficial de tu banco o del parqueadero, no un enlace de un QR pegado.
- No escanees códigos que lleguen en correos inesperados; entra tú a la página oficial.
- No descargues apps desde un QR: búscalas en Google Play o la App Store.
- Activa la verificación en dos pasos en tus cuentas importantes.
Si crees que ya caíste
- Si diste datos de tarjeta, llama de inmediato a tu banco y bloquéala.
- Si diste una contraseña, cámbiala desde otro dispositivo y cierra las sesiones abiertas.
- Si instalaste algo, desinstálalo y pasa un antivirus.
- Revisa los movimientos de tus cuentas los días siguientes.
Los códigos QR no son peligrosos por sí mismos: el problema es escanearlos sin mirar. Dos segundos revisando la dirección te pueden ahorrar un mal rato.
¿Revisas la dirección antes de abrir un QR? Cuéntanos en los comentarios.