Códigos QR falsos y quishing: cómo detectar uno antes de escanearlo

¿Qué es un código QR falso?

Un código QR falso es un código QR colocado por un estafador que abre una página de phishing, una página de pago falsa o una descarga en lugar de lo que sugiere el sitio donde está. El patrón es un código QR perfectamente normal: no hay nada en los cuadrados que lo delate como falso. Lo que hace falso a un código es dónde lo pusieron y adónde lleva.

Un código QR guarda texto, y en casi todas las estafas ese texto es una dirección web, lo único que guarda un código QR de URL. Escanear el código no ejecuta nada en el móvil; la cámara lee la dirección y ofrece abrirla. El daño empieza en la página que se abre: una copia de la página de pago de un operador de aparcamiento, una página de inicio de sesión disfrazada de Microsoft 365, un formulario de reenvío de paquetes que pide los datos de la tarjeta o una invitación a instalar una app.

El FBI avisó de esto en un comunicado de servicio público del 18 de enero de 2022, en el que decía que los delincuentes estaban manipulando códigos QR digitales y físicos para redirigir a las víctimas a sitios maliciosos que roban datos de acceso y financieros. La FTC repitió el aviso en una alerta al consumidor del 6 de diciembre de 2023.

¿Qué es el quishing?

El quishing es phishing hecho a través de un código QR en lugar de un enlace en el que se hace clic, una palabra que el sector de la seguridad formó a partir de QR y phishing. El código QR suele llegar en un correo o en un PDF adjunto que imita a un remitente conocido - un restablecimiento de contraseña, un aviso de autenticación multifactor, un documento compartido o una entrega de paquete - y te pide que lo escanees con el móvil.

El quishing por correo funciona por dos motivos técnicos. Primero, el enlace está dentro de una imagen: el National Cyber Security Centre del Reino Unido señaló en febrero de 2024 que no todas las herramientas de seguridad del correo analizan imágenes, así que un enlace que se bloquearía como texto puede pasar como código QR. Segundo, escanear lleva a la víctima de un ordenador del trabajo a un móvil personal, que, como apuntó Cisco Talos en febrero de 2024, queda fuera de la mayor parte de la vigilancia de seguridad de las empresas.

Los filtros de correo se están poniendo al día. Microsoft anunció en noviembre de 2024 que Microsoft Defender para Office 365 ya puede extraer las URL ocultas en imágenes de códigos QR al principio del flujo de correo, de modo que se comprueban como cualquier otro enlace. Eso reduce la brecha sin cerrarla, porque el mismo código puede llegar en un PDF, una carta o un mensaje de texto.

Una señal separa la mayor parte del quishing del correo legítimo: un servicio real rara vez te pide que escanees un código QR de un correo en tu ordenador para iniciar sesión. Un mensaje que te dice que cojas el móvil y escanees, con prisa, para no perder tu cuenta es el patrón ante el que hay que pararse.

Dónde aparecen los códigos QR falsos

Los códigos QR falsos aparecen allí donde la gente espera pagar o actuar rápido y no puede comprobar con facilidad quién puso el código. La evaluación del NCSC de febrero de 2024 fue que la mayor parte del fraude con códigos QR ocurre en espacios abiertos como estaciones y aparcamientos. Los casos documentados se concentran en unos pocos escenarios:

Varios ayuntamientos han respondido al fraude en el aparcamiento diciendo sin rodeos que no usan códigos QR. Kensington and Chelsea dijo en enero de 2025 que su sistema de aparcamiento no usa códigos QR en absoluto, y Hartlepool dijo en mayo de 2025 que sus máquinas de pago nunca los usarán. Un código QR en una máquina cuyo operador dice eso es falso por definición.

Cómo detectar un código QR falso

Detecta un código QR falso comprobando tres cosas antes de abrirlo: si el código es una pegatina puesta encima de algo, si esperabas un código en ese lugar y si el dominio de la vista previa del móvil pertenece a la organización con la que crees estar tratando. La comprobación del dominio es la que más casos atrapa, porque es la que un estafador no puede falsificar.

Un dominio es el nombre del sitio web que abre un enlace, la parte entre https:// y la siguiente barra simple. En https://parking.example-city.gov/pay el dominio es parking.example-city.gov; en https://example-city.gov.pay-now.io es pay-now.io, diga lo que diga el principio. Lee de derecha a izquierda: la parte justo antes de la primera barra simple es la que decide dónde estás.

Un candado o https al principio del enlace no significa que la página sea auténtica. Solo significa que la conexión está cifrada, y las páginas de estafa usan https con la misma normalidad que las reales.

Cómo comprobar un código QR antes de abrirlo

Comprueba un código QR antes de abrirlo leyendo el enlace que te muestra el móvil, sin tocarlo. En un iPhone o un iPad, las instrucciones de Apple son apuntar la cámara al código y después tocar el enlace para abrirlo: el hueco entre esos dos pasos es donde lo lees. Las apps de cámara de Android y Google Lens suelen mostrar el enlace como un botón que hay que tocar, lo que te da el mismo momento para leerlo.

1. Mira el código antes de escanearlo. Pasa un dedo por el borde del código. Una pegatina encima de un código impreso, un código en una máquina que ya tiene su propio lector de tarjetas o un código en un aviso sin el nombre de ninguna organización son motivos para parar aquí.
2. Escanea con la cámara del propio móvil. Usa la app de cámara o Google Lens, no una app de escáner descargada. El FBI y el NCSC aconsejan usar el escáner integrado en el móvil.
3. Lee el dominio en la vista previa. Antes de tocar, lee el dominio que muestra el móvil. Debe ser el dominio propio de la organización, bien escrito y sin nada raro detrás.
4. Decodifica una foto si la vista previa no es clara. Haz una foto del código y ábrela en un escáner de códigos QR que funcione en el navegador, que muestra el enlace completo como texto sin abrirlo.
5. Ve tú mismo a pagos e inicios de sesión. Si el código lleva a un pago o a un inicio de sesión, ciérralo y escribe la dirección de la organización o abre su app oficial. El FBI aconseja no pagar a través de un sitio al que te haya llevado un código QR.

Merece la pena leer el enlace completo cuando la vista previa muestra solo una parte. Unit 42, el equipo de investigación de Palo Alto Networks, señaló en abril de 2025 que las apps de cámara del móvil muestran solo el dominio, y que los estafadores hacen rebotar a las víctimas por redirecciones en sitios web legítimos para que el primer dominio parezca inofensivo. KoloQR, un generador de códigos QR gratuito con códigos QR circulares y de formas personalizadas, tiene un escáner de códigos QR que lee una captura o una foto en tu navegador, no sube nada y muestra el enlace entero como texto, incluido cualquier parámetro de redirección que lleve dentro. Para más formas de leer un código desde una imagen, consulta cómo escanear un código QR desde una imagen.

¿Son seguros los códigos QR?

Los códigos QR son tan seguros como el enlace o la acción que llevan dentro. Escanear un código con la cámara del móvil solo lee su texto; el riesgo empieza cuando abres el enlace, escribes datos en la página, instalas una app que te ofrece o apruebas una acción como unirte a una red Wi-Fi o iniciar un pago. Un código que esperabas, de una organización en la que confías, sobre algo que ella imprimió, es de bajo riesgo.

Los propios móviles han tenido fallos con los QR, y por eso mantener el sistema actualizado está en la lista de la FTC. En marzo de 2018 un investigador demostró que la app Cámara de iOS 11 podía mostrar un sitio web en la vista previa y abrir otro; Apple lo corrigió en iOS 11.3. Una vista previa de la que te puedas fiar depende de un móvil actualizado.

Otras cargas útiles piden algo distinto de un enlace. Un código QR de Wi-Fi pide unirse a una red, un código de contacto pide guardar una tarjeta, y un código de teléfono o de SMS te deja preparada una llamada o un mensaje para enviar. Lee lo que propone el móvil antes de aceptarlo, exactamente como leerías un enlace.

Las apps de escáner descargadas añaden riesgo en lugar de quitarlo. El comunicado del FBI de 2022 dice que no descargues una app para escanear códigos QR, porque la mayoría de los móviles ya tienen una en la cámara. Un escáner aparte es una app más con permisos en tu móvil, y no lee los códigos mejor que la cámara.

Qué hacer si escaneaste un código QR falso

Si solo escaneaste un código QR falso y cerraste la página, lo más probable es que no haya pasado nada: leer un enlace no le da a nadie tus datos. Si escribiste algo en la página, actúa ese mismo día, en el orden de abajo. La alerta de la FTC de enero de 2025 da los mismos pasos para cualquiera que haya escrito información en una página abierta por un código QR.

1. Datos de la tarjeta o del banco: llama al número que figura en el reverso de tu tarjeta y pide al banco que la bloquee y revise los pagos recientes.
2. Una contraseña: cámbiala en el sitio real y en cualquier otro sitio donde uses la misma. Activa la verificación en dos pasos.
3. Una app que instalaste: bórrala, y revisa en los ajustes del móvil si añadió algún perfil de gestión del dispositivo o algún permiso.
4. Datos personales como tu dirección o tu fecha de nacimiento: revisa tus informes de crédito y vigila tus extractos por si aparecen cuentas nuevas.
5. Denúncialo: al operador del aparcamiento o al ayuntamiento si es una pegatina, a tu proveedor de correo o al equipo de informática de tu empresa si es un correo, y en EE. UU. al IC3 del FBI o a la FTC, en el Reino Unido a Action Fraud.

Si el código estaba en un parquímetro, avisa al operador para que retire la pegatina antes de que la use el siguiente conductor, y paga el aparcamiento por la vía oficial para no llevarte además una multa de verdad.

Cómo pueden proteger las empresas sus códigos QR impresos

Las empresas protegen sus códigos QR impresos sobre todo haciendo que una pegatina encima sea fácil de notar y que el destino real sea fácil de comprobar. Ninguna norma oficial cubre esto; las medidas de abajo son las prácticas que se deducen de cómo funcionan las estafas en los aparcamientos, y sirven igual para una carta, un cartel de pago o un póster.

• Imprime el dominio debajo del código. Una línea como "Abre pay.yourshop.com" le da a quien escanea algo con lo que comparar la vista previa. Una pegatina tendría que tapar también el texto.
• Imprime el código dentro del cartel en lugar de pegarlo. Un código impreso en el diseño, plastificado o detrás de un cristal deja ver al instante un sustituto pegado encima.
• Revisa los carteles sin vigilancia con un calendario. Algunos ayuntamientos del Reino Unido que encontraron pegatinas falsas tienen ahora agentes que revisan las máquinas y las retiran; un cartel de pago que no ves desde el mostrador merece lo mismo.
• Usa tu propio dominio. Un código que abre yourshop.com inspira más confianza que uno que abre un servicio de enlaces cortos, y sigue bajo tu control.
• Pon el nombre del destinatario en los carteles de pago. En un código QR de Venmo o un código QR de PayPal, imprime el nombre de usuario junto al código para que quien paga pueda compararlo con la página que se abre.
• Di a los clientes lo que no usas. Si nunca cobras con código QR, dilo en la máquina, como hacen ya varios ayuntamientos.

Los códigos estáticos son los más fáciles de comprobar, porque el enlace impreso en el patrón es el destino final. Un código dinámico manda cada escaneo primero por una redirección, lo que es útil cuando el destino tiene que cambiar, pero significa que el enlace visible no es la página que se abre. Códigos QR estáticos y dinámicos explica cuándo conviene cada uno.

¿Necesitas un código QR falso para una maqueta o una prueba?

Para una maqueta de diseño, un atrezo o una impresión de prueba, usa un código QR real que apunte a una dirección reservada e inofensiva como https://example.com. El RFC 2606 reserva example.com, example.net y example.org para documentación, así que el código se escanea, abre una página de relleno y nunca podrá llevar a nadie a un sitio inesperado porque el dominio cambie de manos.

Evita dos atajos. Un patrón aleatorio de cuadrados que no es un código válido se ve raro para cualquiera que conozca los códigos QR y deja colgado al escáner. Un código que apunta a un sitio real que no es tuyo - o a un acortador de enlaces que podría reutilizarse más adelante - puede mandar a quien escanee tu maqueta a una página que nunca viste.

El generador de KoloQR crea un código de relleno a partir de cualquier dirección en unos segundos, con la forma y los colores del diseño final, así que la maqueta muestra el tamaño y el aspecto reales. Cambia al enlace definitivo antes de que el diseño vaya a imprenta.