Respuesta corta
Un código QR no es más que un enlace que no puedes leer. Los estafadores pegan códigos falsos encima de los reales —la FTC menciona los parquímetros— o los envían por correo, SMS o carta con un pretexto: un envío fallido, un problema con la cuenta o un cambio de contraseña obligatorio. El código abre una página de acceso o de pago que imita a la real, o una descarga. Antes de abrirlo, revisa la dirección web que muestra la cámara; no escanees códigos de mensajes que no esperabas; y paga desde la app o web oficial. Si escribiste una contraseña, cámbiala desde un dispositivo limpio y cierra las demás sesiones; si diste datos de la tarjeta, llama a tu banco.
Dónde aparecen los QR falsos
- Pegatinas sobre el código real en parquímetros, cargadores, mesas de restaurante o carteles.
- Correos que dicen que tu cuenta se bloqueará si no te «reverificas» escaneando: a los filtros de correo les cuesta más revisar un código que un enlace, y te lleva al móvil.
- SMS y cartas sobre un paquete, una multa o una devolución.
- Falsos mensajes de «soporte» en redes sociales que piden escanear un código para verificar o desbloquear tu cuenta.
Revisa el código antes de abrirlo
- Lee la vista previa de la dirección antes de tocar. Busca errores o letras cambiadas que imitan un sitio conocido: es el primer consejo de la FTC.
- En un parquímetro o cartel, busca una pegatina sobre el código original u otras señales de manipulación.
- No escanees un código de un correo o SMS inesperado, sobre todo si te mete prisa. Contacta con la empresa por una web o número que sepas que es real.
- Para pagar o iniciar sesión, usa la app oficial o escribe tú la dirección.
- Nunca escribas una contraseña ni un código de verificación en una página a la que llegaste por un código inesperado.
Si ya lo escaneaste
| Qué pasó | Haz esto ahora |
|---|---|
| Solo abriste la página | Ciérrala sin escribir nada y mantén el móvil actualizado |
| Escribiste una contraseña | Cámbiala desde un dispositivo limpio (primero el correo), cierra otras sesiones y activa la 2FA |
| Diste datos de tarjeta o bancarios | Llama al banco al número de la tarjeta, bloquéala y reclama el cargo |
| Instalaste una app o archivo | Desinstálalo, actualiza y analiza el móvil, y cambia las contraseñas desde otro dispositivo |
| Diste un código de verificación | Da por hecho que la cuenta está tomada y usa la vía oficial de recuperación |
Protege tu móvil y tus cuentas
- Mantén actualizado el sistema operativo del móvil, como aconseja la FTC.
- Usa contraseñas fuertes y autenticación multifactor; lo ideal es una llave de acceso, que no se puede escribir en una página falsa.
- Un gestor de contraseñas no rellena en un sitio que imita al real, y eso ya es una señal de alarma.
- Tras cualquier descuido, revisa dónde tienes la sesión abierta: dispositivos conectados.
Denúncialo
Avisa al responsable del parquímetro, aparcamiento o comercio de la pegatina falsa, y reporta el mensaje a tu proveedor de correo o al servicio nacional de denuncias; consulta cómo denunciar el phishing. Si hubo perjuicio económico, denuncia ante la policía; para otros países, consulta dónde denunciar el fraude online.
Preguntas frecuentes
¿Escanear un código QR puede hackear mi móvil?
Escanear solo lee un enlace. El peligro está en lo que haces después: escribir datos en una página falsa o instalar algo. La FTC recuerda que un código también puede llevar a malware, así que mantén el móvil actualizado y no instales apps desde enlaces.
¿Cómo sé si un código QR es falso?
Revisa la vista previa de la dirección antes de abrirlo, busca pegatinas sobre el código original y desconfía de los códigos en correos o SMS inesperados que te meten prisa.
¿Qué es el quishing?
Phishing con códigos QR: usar un QR en lugar de un enlace para llevar a alguien a una página falsa de acceso o de pago.
Pagué el aparcamiento con un QR falso. ¿Y ahora?
Llama de inmediato a tu banco para bloquear la tarjeta y reclamar el cargo, y después informa del código al operador del aparcamiento y a la policía.
Fuentes: FTC — los estafadores esconden enlaces dañinos en códigos QR, FTC — cómo reconocer y evitar el phishing, NCSC — denunciar correos, mensajes y webs fraudulentos, FTC — ReportFraud.ftc.gov