Los códigos QR se han vuelto parte de la vida diaria: cartas de restaurantes, pagos de aparcamiento, entradas, facturas o accesos a servicios. El quishing (de QR y phishing) aprovecha esa confianza. Consiste en hacer que escanees un código QR falso que te lleva a una web fraudulenta donde te piden pagar, introducir los datos de tu tarjeta o iniciar sesión con tus contraseñas. La dificultad está en que, a simple vista, un QR legítimo y uno falso son idénticos.
Dónde aparecen los QR falsos
En la calle
- Parquímetros y puntos de recarga: pegatinas con un QR colocadas encima del original o junto a él, que llevan a una web de pago falsa.
- Falsas multas o avisos en el parabrisas: un papel con apariencia oficial que te invita a pagar una sanción escaneando un código.
- Carteles y folletos: anuncios de ofertas, sorteos o servicios con un QR que lleva a formularios para robar datos.
En correos y cartas
- Correos electrónicos con un QR en lugar de un enlace: así intentan esquivar los filtros antispam. Suelen pedir «verificar tu cuenta», «reactivar la autenticación» o «consultar un documento compartido».
- Cartas postales que imitan a bancos, empresas de paquetería o administraciones y piden escanear un QR para regularizar un pago.
En comercios
Algún QR de carta o de pago en un local puede haber sido sustituido por otro sin que el propio negocio lo sepa.
Por qué funciona
- No vemos la dirección web hasta después de escanear, y en el móvil es fácil pasarla por alto.
- Asociamos el QR a contextos legítimos, como pagar el aparcamiento o leer un menú.
- Muchas veces escaneamos con prisa, de pie y sin prestar atención.
- En los correos, el QR obliga a usar el móvil, donde a menudo hay menos protecciones que en el ordenador del trabajo.
Además, el código QR en sí no es peligroso: es solo una forma de escribir una dirección web. El riesgo está en la página a la que lleva y en lo que hagas en ella. Por eso las comprobaciones deben centrarse en el destino y en lo que te piden, más que en el aspecto del código.
Cómo detectar un QR sospechoso
| Comprobación | Señal de alerta |
|---|---|
| Aspecto físico del código | Pegatina superpuesta, bordes levantados o un QR distinto al del resto de parquímetros |
| Vista previa de la dirección | Dominio que no corresponde al ayuntamiento, empresa o comercio |
| Lo que te pide la web | Datos completos de tarjeta para un pago pequeño, o tu contraseña de correo |
| Contexto | Una multa en papel con QR y sin datos oficiales verificables |
| Correo con QR | Mensaje urgente que te pide escanear para no perder el acceso a tu cuenta |
Hábito útil: antes de abrir el enlace, mira la vista previa que muestra la cámara del móvil. Si la dirección no es la que esperabas, no la abras.
Buenas prácticas
- Para pagar el aparcamiento o la recarga del coche, utiliza la app oficial o paga directamente en la máquina.
- Comprueba la dirección web antes de introducir datos y busca la web oficial por tu cuenta si tienes dudas.
- No escanees códigos QR que lleguen en correos inesperados, aunque parezcan de tu empresa o tu banco.
- Desconfía de las multas en papel con QR; consulta las sanciones en los canales oficiales del ayuntamiento o de la DGT.
- Mantén el móvil actualizado y evita instalar aplicaciones desde enlaces abiertos con un QR.
- Si detectas un QR manipulado en la calle, avisa al ayuntamiento o al responsable del servicio.
Qué hacer si has escaneado un QR falso
- Si introdujiste datos de tarjeta: bloquéala desde la app del banco o llamando al teléfono oficial.
- Si diste una contraseña: cámbiala de inmediato y activa la verificación en dos pasos. Si era la del correo del trabajo, avisa al responsable de informática.
- Si descargaste una aplicación: desinstálala, desconecta el móvil de internet y pide ayuda técnica; el 017 de INCIBE ofrece orientación gratuita.
- Haz una foto del QR y del lugar donde estaba, y captura la web a la que te llevó.
- Revisa movimientos y comunica los cargos no autorizados a tu banco cuanto antes.
- Denuncia en la Policía Nacional o la Guardia Civil.
El quishing es una variante del phishing clásico, así que las pautas de nuestra guía sobre phishing por correo electrónico también te sirven. Para reclamar cargos, revisa qué gestiones hacer con tu banco, y si necesitas ayuda para valorar tu caso, solicita una consulta.
