Estafas con código QR: cómo detectarlas y qué hacer

Una pegatina en el parquímetro, un aviso de multa bajo el limpiaparabrisas, una carta con QR en la mesa del restaurante, una nota en el buzón sobre un paquete que no se ha podido entregar. Todos son códigos QR, y precisamente por eso se han convertido en una herramienta perfecta para los estafadores: no vemos la dirección a la que llevan y los escaneamos casi por reflejo. En esta guía veremos cómo reconocer las estafas con código QR, el llamado quishing, en los casos más habituales (aparcamientos, multas, restaurantes y paquetes) y qué hacer de inmediato si ya has pagado o has introducido tus datos.

Qué es el quishing y por qué funciona tan bien

El quishing es el phishing hecho con un código QR. En lugar de un enlace en un SMS o en un correo, el estafador te hace escanear un código que abre una página falsa: un formulario de pago, una pantalla de acceso a tu banco o una web que te pide los datos de la tarjeta.

Funciona por tres motivos:

• No ves adónde vas: un código QR es un cuadrado de puntitos, la dirección solo aparece tras escanearlo y, a menudo, durante pocos segundos.
• El contexto parece oficial: una pegatina en un parquímetro o un papel con el escudo del ayuntamiento inspiran confianza.
• Se usa el móvil: en una pantalla pequeña es más difícil comprobar la dirección, y muchos filtros antiphishing del correo de empresa no leen las imágenes.

Aparcamientos y parquímetros: la pegatina sobre el QR auténtico

Es la estafa más extendida. El delincuente pega un adhesivo con un código QR falso encima del original del parquímetro, o al lado, con el mensaje «paga con tu smartphone». La página que se abre parece la de una aplicación de aparcamiento y pide matrícula, tiempo de estacionamiento y datos de la tarjeta. El pago va a parar al estafador y, en muchos casos, la tarjeta se utiliza justo después para otras compras.

Cómo protegerte:

• Toca el código QR: si notas el borde de una pegatina, si está torcido o tapado por otro, no lo uses.
• Paga con la aplicación oficial que ya tengas instalada, o con monedas o tarjeta directamente en el parquímetro.
• Desconfía de las páginas que te piden descargar una aplicación «para completar el pago» o que solicitan datos innecesarios, como el PIN de la tarjeta.

Falsas multas con código QR: el papel bajo el limpiaparabrisas

Otra variante es el falso aviso de denuncia dejado en el parabrisas. El papel imita un boletín de denuncia, indica una sanción reducida «si pagas en 24 horas» e invita a escanear el código QR para abonarla. La prisa y el descuento son el anzuelo.

Recuerda que una multa real incluye referencias precisas (número de expediente, organismo, artículo infringido) y se puede comprobar de forma independiente. No pagues nunca a través del código impreso en el papel: busca tú mismo la web oficial del ayuntamiento o del organismo que figura como emisor y comprueba desde allí si la multa existe. Si el papel es falso, consérvalo: te servirá para la denuncia.

Restaurantes, bares y locales: la carta y el pago en la mesa

Muchos locales usan códigos QR para la carta o para pagar la cuenta en la mesa. Los estafadores pueden sustituir el cartoncito o tapar el código con una pegatina, y llevarte a una página de pago clonada. En otros casos, el QR lleva a una falsa encuesta «de satisfacción» que promete un vale descuento a cambio de tus datos personales.

• La carta nunca debería pedir datos de la tarjeta ni de acceso: si ocurre, cierra la página.
• Para pagar, pide al personal el datáfono o paga la cuenta en caja.
• Si algo no cuadra, avisa al responsable del local: probablemente no sepa que su código QR ha sido manipulado.

Paquetes y mensajería: avisos de entrega fallida y cartas con QR

El clásico SMS del «paquete retenido» ahora llega también en papel: un aviso dejado en el buzón o en la puerta, con un código QR para «reprogramar la entrega» o «pagar los gastos de aduana». A veces el código llega directamente dentro de un correo, en forma de imagen, para esquivar los filtros antispam.

En todos estos casos vale la misma regla que ya vimos con las webs y los SMS fraudulentos del Black Friday: no sigas el enlace ni el código que has recibido; abre tú la aplicación o la web oficial de la empresa de mensajería e introduce el número de envío a mano. Una empresa de mensajería no pide nunca los datos completos de tu tarjeta por una pequeña cantidad de gastos de aduana a través de un código QR.

Cómo reconocer un código QR fraudulento: 7 comprobaciones rápidas

1. Mira el soporte: pegatinas superpuestas, bordes levantados e impresiones desvaídas o torcidas son una señal de alarma.
2. Lee la vista previa de la dirección: casi todas las cámaras muestran la dirección antes de abrirla. Detente y léela con calma.
3. Comprueba el dominio: letras cambiadas, palabras de más, guiones, extensiones raras o direcciones acortadas son sospechosos.
4. Desconfía de la urgencia: «paga en 24 horas», «último aviso», «descuento si pagas ya» son frases típicas de las estafas.
5. Nada de descargas: un código QR que te pide instalar una aplicación o un perfil en el móvil debe ignorarse.
6. Datos solicitados: el PIN, los códigos recibidos por SMS o la contraseña del banco no se introducen nunca en una página abierta desde un código QR.
7. Si tienes una alternativa, úsala: aplicación oficial, web escrita a mano, pago en caja. El código QR es cómodo, no obligatorio.

Si el móvil se comporta de forma extraña tras un escaneo (ventanas emergentes, batería que se agota rápido, aplicaciones que no recuerdas haber instalado), lee nuestra guía sobre cómo saber si tu móvil está espiado o hackeado.

Qué hacer si ya has pagado o has introducido tus datos

1. Bloquea la tarjeta de inmediato desde la aplicación del banco o llamando al teléfono de atención correspondiente, y pide que te reembolsen el cargo.
2. Cambia las contraseñas si has introducido credenciales, empezando por la del banco y la del correo, y activa la verificación en dos pasos.
3. Revisa los movimientos en los días siguientes: los estafadores suelen hacer primero un pequeño cargo de prueba.
4. Haz una foto del código QR, de la pegatina o del papel, y guarda la dirección de la página y los justificantes: te harán falta para la denuncia.
5. Denuncia la estafa: puedes llamar al 017, la línea gratuita de ayuda en ciberseguridad de INCIBE, y presentar una denuncia ante la Policía Nacional o la Guardia Civil. Avisa también al ayuntamiento o al gestor del aparcamiento o del local, para que puedan retirar el código falso.

Preguntas frecuentes sobre las estafas con código QR

¿Basta con escanear un código QR para que me estafen?

Normalmente no: el escaneo solo abre una página. El daño llega cuando introduces datos, pagas o instalas algo. Por eso el momento de detenerse es justo después de escanear, antes de tocar cualquier botón.

¿Son seguras las aplicaciones para leer códigos QR?

La cámara integrada del móvil suele ser la mejor opción, porque muestra la vista previa de la dirección. Evita las aplicaciones de terceros poco conocidas que piden muchos permisos.

¿Puede ser verdadera una multa con código QR?

Algunos organismos usan códigos QR en los documentos de pago, pero una sanción real siempre se puede comprobar de forma independiente en la web oficial del organismo. Si tienes dudas, no pagues desde el código y verifica primero.

En resumen

El código QR no es peligroso en sí mismo, pero oculta la dirección a la que lleva. Antes de escanearlo, fíjate en si es una pegatina superpuesta; después de escanearlo, lee la dirección; y para pagar, prefiere siempre la aplicación oficial o el pago en caja. Si ya has introducido tus datos, bloquea la tarjeta, cambia las contraseñas y denuncia cuanto antes: actuar rápido reduce el daño.