Un código QR es, en el fondo, un enlace que no puedes leer con los ojos. Esa es toda su comodidad y también toda su vulnerabilidad: aceptas ir a un sitio antes de saber cuál es.
Cómo funciona el engaño
La técnica más extendida no tiene nada de sofisticada: se pega una pegatina con un código falso encima de uno legítimo. Ocurre en parquímetros, cartas de restaurante, carteles de recaudación, terminales de pago y anuncios en la calle.
El código lleva a una página que imita a la original y pide datos: tarjeta, credenciales bancarias, contraseñas. Como el usuario llegó ahí «escaneando el cartel oficial», baja la guardia.
Otras variantes: códigos en correos que suplantan a un banco (el QR evita los filtros que analizan enlaces), códigos que descargan una aplicación fuera de las tiendas oficiales, y códigos de WiFi que conectan a una red controlada por un tercero.
Qué revisar antes de tocar
- Mira la URL en la vista previa. Casi todos los teléfonos la muestran antes de abrir. Si no la muestra, cancela.
- Comprueba el dominio, no el resto. Lee de derecha a izquierda hasta la primera barra: en
banco.com.pagos-verificar.netel dominio real espagos-verificar.net. - Desconfía de acortadores en carteles oficiales. Una institución seria usa su propio dominio.
- Fíjate en el soporte físico: una pegatina encima de otra, un código torcido o con distinta calidad de impresión es una señal clara.
- Nunca introduzcas datos bancarios en una página a la que llegaste por un QR. Entra tú a la web o a la aplicación oficial.
Dónde hay más riesgo
- Parquímetros y estacionamientos: el caso más documentado.
- Terrazas y cartas de restaurante, donde las pegatinas se cambian con facilidad.
- Carteles de donaciones en la vía pública.
- Correos con QR que suplantan a bancos o mensajerías.
- Pegatinas en paquetes que llegan sin haber sido pedidos.
En cambio, un QR en un menú plastificado dentro de un local, en un producto sellado de fábrica o en tu propia tarjeta tiene un riesgo mucho menor.
Pagos con QR
Los sistemas de pago con QR son seguros cuando el código lo genera la aplicación oficial en el momento. La regla es sencilla: abre siempre la aplicación de tu banco y escanea desde ahí, no al revés. Y verifica en la propia aplicación el nombre del destinatario y el importe antes de confirmar.
Nunca escanees un código de pago que te envían por mensaje ni pagues desde una página web abierta desde un QR.
Códigos de WiFi
Un QR de WiFi es cómodo y legítimo, y también es un vector: conectarse a una red desconocida permite a quien la controla ver parte del tráfico. Conéctate solo a redes del negocio en el que estás, y evita hacer operaciones bancarias en redes públicas.
Si tú ofreces la red a tus clientes, genera el código de WiFi tú mismo y colócalo en un soporte que no se pueda sustituir con una pegatina.
Proteger los códigos de tu negocio
- Lamina o graba los códigos en lugar de usar pegatinas.
- Intégralos en el diseño impreso, no como adhesivo aparte.
- Revísalos periódicamente: escanea tus propios códigos una vez a la semana.
- Usa tu propio dominio como destino, para que el cliente reconozca la dirección.
- Avisa en el cartel a qué dominio debería llevar: «Debe abrir tusitio.com».
Y si gestionas accesos o cuentas relacionadas con esos códigos, protege esas cuentas con contraseñas robustas generadas en tu propio dispositivo con el generador de contraseñas, y activa la verificación en dos pasos.
Preguntas frecuentes
¿Puede un QR instalar un virus?
No por sí solo. Puede llevarte a una página que intente engañarte o a una descarga fuera de las tiendas oficiales, que es donde está el riesgo real.
¿Cómo veo a dónde lleva un QR antes de abrirlo?
La mayoría de cámaras muestran la dirección en una vista previa. Si no la muestra, no continúes.
¿Es seguro pagar con código QR?
Sí, si escaneas desde la aplicación oficial de tu banco y verificas destinatario e importe antes de confirmar.
¿Cómo protejo los QR de mi negocio?
Lamínalos o intégralos en el diseño impreso, revísalos con frecuencia y usa un dominio propio reconocible como destino.
