Los códigos QR se han vuelto tan habituales que los escaneamos casi sin pensar. Y precisamente por eso los ciberdelincuentes han empezado a usarlos para engañar a la gente. Esta técnica tiene nombre: quishing, una mezcla de *QR* y *phishing*. En este artículo te explicamos cómo funcionan estas estafas, cómo reconocerlas y qué puedes hacer para protegerte, tanto si escaneas códigos como si los usas en tu negocio.
Qué es el quishing
El quishing es un tipo de fraude en el que un código QR lleva a una página falsa diseñada para robar datos personales, contraseñas o información bancaria, o para cobrar un pago que no corresponde. A diferencia de un enlace en un correo, un código QR no muestra la dirección a simple vista, lo que hace más difícil detectar el engaño antes de abrirlo.
Las estafas más comunes
Pegatinas sobre códigos legítimos
Los estafadores colocan una pegatina con un código falso encima del código original en parquímetros, estaciones de carga, cartas de restaurantes o carteles. El usuario cree que paga el aparcamiento, pero introduce los datos de su tarjeta en una web fraudulenta.
Correos y cartas falsas
Mensajes que imitan a un banco, una empresa de paquetería, la administración o el departamento de informática de tu empresa e incluyen un código QR para «verificar tu cuenta», «pagar una tasa pendiente» o «reprogramar una entrega». Como el código es una imagen, algunos filtros de correo no lo analizan.
Pagos a la cuenta equivocada
En pagos con QR, el código falso puede llevar a una pasarela que transfiere el dinero al estafador.
Descarga de aplicaciones maliciosas
Códigos que prometen una aplicación útil (de un evento, un restaurante, un servicio público) pero llevan a la descarga de una app fuera de las tiendas oficiales.
Señales de alerta
| Señal | Qué puede indicar |
|---|---|
| Pegatina superpuesta o mal recortada | Código falso pegado encima del original |
| Dirección web extraña o con faltas | Imitación de una web legítima |
| Urgencia («pague hoy o perderá…») | Presión típica de las estafas |
| Piden contraseña o datos de tarjeta nada más abrir | Página de phishing |
| QR en un correo inesperado | Posible quishing por correo |
| Acortadores de enlaces desconocidos | Ocultan el destino real |
Consejos para usuarios
- Mira el código antes de escanear. Si parece una pegatina sobre otro código o está despegado, desconfía.
- Revisa la dirección que muestra el móvil antes de abrirla. Comprueba que el dominio es el que esperas.
- No introduzcas contraseñas ni datos bancarios en una página a la que llegaste por un QR si no estás totalmente seguro.
- Usa las aplicaciones oficiales para pagar el aparcamiento, el transporte o los servicios públicos, en lugar de un código en la calle.
- Desconfía de los QR en correos inesperados. Si un banco o empresa te pide algo, entra en su web escribiendo tú la dirección.
- Descarga aplicaciones solo desde App Store o Google Play.
- Mantén el móvil actualizado, para contar con las últimas protecciones de seguridad.
Consejos para negocios
Si usas códigos QR en tu negocio, también puedes proteger a tus clientes:
- Revisa periódicamente tus códigos en mesas, carteles y escaparates para detectar pegatinas ajenas.
- Imprime los códigos integrados en el soporte (en la carta, en el cartel) en lugar de usar pegatinas fáciles de sustituir.
- Muestra tu dominio junto al código, por ejemplo «tuweb.com/carta», para que el cliente pueda comprobar que el destino coincide.
- Añade tu logotipo y colores de marca: un código personalizado es más difícil de imitar que uno genérico.
- Usa tu propio dominio en los enlaces siempre que puedas.
- Informa a tu equipo de que avise si detecta un código extraño.
Qué hacer si has caído en una estafa
- Contacta inmediatamente con tu banco para bloquear la tarjeta o la operación.
- Cambia las contraseñas que hayas introducido, empezando por el correo y la banca online.
- Activa la verificación en dos pasos en tus cuentas importantes.
- Denuncia el fraude ante las autoridades de tu país y, si ocurrió en un establecimiento, avisa al responsable.
- Revisa tus movimientos durante las semanas siguientes.
¿Los códigos QR son peligrosos?
No. Un código QR no es más peligroso que un enlace: es solo una forma de abrir una dirección. El riesgo está en el destino, no en el código. Con unos hábitos sencillos, como revisar la dirección y desconfiar de las pegatinas y los correos inesperados, puedes seguir disfrutando de su comodidad con seguridad.
Preguntas frecuentes
¿Escanear un código QR puede infectar mi móvil?
Escanear en sí no instala nada. El peligro aparece si abres una página fraudulenta y descargas un archivo o introduces datos. Revisa siempre el destino antes de abrirlo.
¿Cómo sé si un código QR es seguro?
Comprueba la dirección que muestra el móvil, el estado físico del código y el contexto. Si algo no encaja, no lo abras.
¿Los códigos creados en QRcrea son seguros?
Los códigos que creas en el generador de QRcrea llevan exactamente al destino que tú indicas. La seguridad del destino depende del enlace que elijas.
Conclusión
El quishing aprovecha la confianza que tenemos en los códigos QR, pero es fácil de evitar con atención: revisa la dirección antes de abrirla, desconfía de pegatinas y correos inesperados y no introduzcas datos sensibles si no estás seguro. Si tienes un negocio, personaliza tus códigos, muestra tu dominio y revísalos con regularidad. Crea códigos con tu marca en el generador de códigos QR de QRcrea.
¿Listo para crear tu código QR?
Personalízalo con tus colores y tu logo, y descárgalo gratis en segundos.
