5 técnicas de defensa para no caer en códigos QR falsos
¿Dónde se esconden los códigos QR falsos?
Las estafas con códigos QR (quishing) han aumentado rápidamente desde 2023. El método es sencillo: basta con pegar una pegatina falsa encima de un código QR auténtico. Las máquinas de pago de los aparcamientos, las mesas de los restaurantes, los paneles informativos de las instalaciones públicas, los folletos que llegan al buzón. Si escaneas un código QR falso pegado en estos lugares, te llevará a un sitio de phishing idéntico al auténtico y te robarán los datos de tu tarjeta de crédito o tus credenciales de inicio de sesión.
En 2022, el FBI emitió una advertencia oficial y pidió "comprobar que el código QR no haya sido manipulado físicamente antes de escanearlo". En el Reino Unido se han ido registrando uno tras otro casos de códigos QR falsos pegados en las máquinas de pago de los aparcamientos. También en Japón, en octubre de 2025, varios medios informaron de que en un anuncio de la Universidad de Electrocomunicaciones colocado dentro de un tren de la línea Keio se había pegado una pegatina con un código QR que, según la universidad, no figuraba en su anuncio, y la universidad advirtió del caso a través de su cuenta oficial. Como estaba pegada en una posición natural, superpuesta al texto del anuncio, podía tomarse por el destino de lectura que la propia universidad indicaba. Los carteles los ven muchas personas durante poco tiempo, pero no existe un sistema para revisar a diario si los han sustituido. El tiempo que tarda en darse cuenta quien los colocó es la base sobre la que se apoya este método.
Técnica de defensa 1: comprueba siempre la URL después de escanear
La medida de defensa más básica y más eficaz es comprobar la URL que aparece después de escanear el código QR. Tanto en iPhone como en Android, al escanear un código QR se muestra una vista previa de la URL antes de que se abra el navegador. Comprueba siempre esta vista previa.
Hay tres puntos que revisar. Primero, si el nombre de dominio es correcto. Ten cuidado con dominios falsos como paypa1.com (la l se ha sustituido por un 1) en lugar de paypal.com. Segundo, si empieza por HTTPS. Los sitios que solo usan HTTP son poco fiables. Por último, si la URL no es excesivamente larga. Los servicios legítimos usan URL cortas y sencillas. Si algo te resulta mínimamente extraño, no toques nada y cierra el navegador.
Técnica de defensa 2: detecta pegatinas superpuestas
Muchos de los códigos QR falsos físicos consisten en pegar una pegatina encima del auténtico. Los puntos para detectarlos son si hay escalones o abultamientos extraños alrededor del código QR, si la textura de la impresión es distinta de la de su entorno y si los bordes de la pegatina están levantados.
Los lugares en los que hay que tener especial cuidado son los espacios públicos a los que accede un número indeterminado de personas. Las máquinas de pago de los aparcamientos, los avisos de los aseos públicos, los horarios de las paradas de autobús, los paneles informativos de los lugares turísticos. En estos lugares, acostúmbrate a tocar el código QR para comprobar físicamente si tiene algo pegado encima. Si puedes acceder directamente desde una aplicación oficial instalada en tu smartphone, es más seguro usar la aplicación sin usar el código QR.
Técnica de defensa 3: no introduzcas datos de pago a través de un código QR
Si en la página a la que te lleva un código QR te piden el número de tu tarjeta de crédito, los datos de tu cuenta bancaria o una contraseña, sospecha de una estafa. Es raro que un servicio legítimo te haga introducir datos de pago directamente a través de un código QR. Los servicios de pago legítimos como PayPay o Rakuten Pay completan el proceso dentro de su propia aplicación.
Si en una situación en la que hay que pagar (como la tarifa de un aparcamiento) se muestra un código QR, no lo uses y accede directamente desde el sitio web oficial o la aplicación oficial del servicio. Supone más trabajo, pero si piensas en el riesgo de sufrir un uso fraudulento de tu tarjeta por cientos de miles de yenes para pagar una tarifa de aparcamiento de unos miles de yenes, es un seguro barato.
Técnica de defensa 4: deja que una máquina verifique el destino
La técnica de defensa 4 consiste en usar mecanismos que hacen que una máquina verifique la URL del destino leído. Las aplicaciones de seguridad para smartphones y las funciones de protección integradas en los navegadores y en el sistema operativo tienen funciones que cotejan la URL que estás a punto de abrir con una lista de sitios fraudulentos conocidos y muestran una advertencia si coincide. Si compruebas una vez en tu dispositivo si este tipo de protección está activado, tendrás una barrera más antes de llegar a un sitio falso.
Sin embargo, esta verificación es un mecanismo que parte de "sitios que ya se han denunciado y figuran en la lista". Como los sitios fraudulentos se crean y desaparecen en poco tiempo, los sitios nuevos que aún no figuran en la lista escapan a la detección. Que no aparezca ninguna advertencia no demuestra que sea seguro. La verificación automática no es más que la última red, y solo resulta útil cuando se combina con la comprobación con tus propios ojos de las técnicas de defensa 1 a 3.
Técnica de defensa 5: denuncia los códigos sospechosos para frenar el siguiente daño
La técnica de defensa 5 consiste en denunciar los códigos QR sospechosos cuando los encuentres. Si en un lugar público encuentras un código QR que claramente se ha pegado después, informa primero al responsable de la instalación. Quien tiene la autoridad para retirar lo que se ha pegado es quien colocó el cartel, y aunque tú no hayas sufrido ningún daño, ese aviso frena el daño de la siguiente persona. Si haces una foto para que se sepa dónde estaba pegado, la comprobación por parte del responsable avanzará más rápido.
En Japón, como número abreviado común en todo el país para consultas no urgentes, se indica el teléfono de consultas de la policía (#9110). Es un sistema que te conecta con la ventanilla de consultas de la jefatura de policía que tiene jurisdicción sobre la zona desde la que llamas, y para emergencias por delitos o accidentes el número es el 110. Las consultas sobre los propios delitos cibernéticos las atienden las ventanillas creadas en la policía de cada prefectura. Además, el Consejo contra el Phishing (Council of Anti-Phishing Japan) ha publicado una ventanilla de denuncias que recibe información sobre sitios falsos.
Códigos que no se pueden juzgar por su aspecto y el hábito de comprobar con calma
Lo complicado de los códigos QR falsos es que el auténtico y el falso no se distinguen en absoluto a simple vista. Con un patrón en blanco y negro no se puede saber su destino antes de leerlo. Si fuera una URL escrita con letras, en algunos casos podrías notar algo sospechoso, pero con un patrón no hay ninguna pista. Precisamente por eso, quienes atacan se aprovechan de que el contenido del código no se ve. Puesto que no se puede juzgar por el aspecto, tener el hábito de comprobar la información que se muestra justo después de leerlo es lo más importante para evitar daños.
Gran parte de los daños por códigos falsos nacen de actuar con prisa. Precisamente cuando te encuentras con avisos que alimentan la inquietud, como "haz el trámite ahora mismo", es importante detenerse un momento. ¿La URL que aparece es de verdad de la organización que buscas? ¿Te piden de repente que introduzcas datos personales o de pago? Si compruebas cada cosa con calma, evitarás muchos peligros. Si notas aunque sea un poco que algo no va bien, vuelve a comprobarlo por tu cuenta desde la aplicación oficial o la ventanilla oficial. Esta prudencia es una actitud imprescindible para protegerte de métodos ingeniosos.