Estafa con código QR: cómo reconocer códigos falsos y escanear con seguridad

Los códigos QR están en todas partes: menús de restaurantes, parquímetros, carteles, facturas y avisos de entrega. Esa comodidad es justamente lo que hace funcionar una estafa con código QR. Un código QR no es más que un enlace que no puedes leer a simple vista, así que un delincuente puede cambiar un código real por otro que lleva a una página falsa de pago o de inicio de sesión, y no lo notarás hasta que sea tarde. Esta guía muestra los trucos más comunes, cómo revisar adónde lleva un código antes de abrirlo y qué hacer si ya escaneaste uno y escribiste tus datos.

Esta es una guía independiente, sin relación con ningún banco, ciudad, empresa de estacionamiento ni fabricante de celulares.

Cómo funcionan las estafas con códigos QR

La estafa es igual a un enlace de phishing común, solo que escondido. Los expertos en seguridad la llaman quishing (QR más phishing). El código te lleva a un sitio que parece el verdadero, como una página de pago de estacionamiento, el inicio de sesión de tu banco, una empresa de paquetería o tu proveedor de correo, y te pide un número de tarjeta, una contraseña o un código de un solo uso. Algunas páginas falsas también te empujan a descargar una app o un archivo.

La Comisión Federal de Comercio de Estados Unidos (FTC) ha advertido que los estafadores esconden enlaces dañinos en códigos QR y que suelen meter prisa, por ejemplo con una entrega fallida o un problema con tu cuenta, para que escanees antes de pensar.

Las trampas con código QR más comunes

Calcomanías falsas en parquímetros y cajeros de pago

Los delincuentes imprimen sus propios códigos QR y los pegan encima de los verdaderos en parquímetros, cajeros de pago de estacionamiento, letreros e incluso cargadores de autos eléctricos. Escaneas, ves una página que parece de pago de estacionamiento y escribes los datos de tu tarjeta, que van directo al estafador. Señales de alerta:

• Una calcomanía pegada sobre otro código, con bordes despegados o que parece recién puesta.
• Una dirección web que no coincide con la ciudad o la empresa de estacionamiento que aparece en el letrero.
• Una página que pide más de lo normal, como tu fecha de nacimiento completa o la contraseña de tu banca en línea.

Lo más seguro es pagar en la máquina o usar la app de estacionamiento que ya instalaste desde la App Store o Google Play.

Códigos QR en correos y mensajes de texto

Algunos correos de phishing no traen ningún enlace en el que hacer clic, solo un código QR. Así esquivan los filtros de correo y te hacen pasar de una computadora protegida del trabajo a tu celular. Los mensajes típicos dicen que tu contraseña está por vencer, que te espera un documento o que debes “volver a verificar” tu cuenta. Una empresa real casi nunca te pide escanear un código para iniciar sesión. Conoce las demás señales en la guía (en inglés) para reconocer un correo de phishing.

Códigos en cartas, volantes y paquetes

Ten cuidado con el correo postal que parece una multa de estacionamiento, un peaje sin pagar, una factura de servicios o un “último aviso” con un código QR para pagar. También con un paquete inesperado que no pediste y que incluye una tarjeta con un código QR. Si no estás seguro de que una carta sea real, busca tú mismo los datos de contacto de la organización en lugar de usar el código o cualquier número impreso en la carta.

Códigos en tiendas y anuncios en línea

Los códigos QR falsos también pueden llevar a tiendas en línea que venden productos que nunca llegan. Antes de comprar en un sitio al que llegaste por un código, revísalo con la guía (en inglés) para comprar en línea con seguridad y detectar tiendas falsas.

Cómo escanear un código QR con seguridad

1. Usa la cámara integrada. En un iPhone o iPad, abre la app Cámara y apunta al código; aparece un enlace en la pantalla. En la mayoría de los celulares Android, la app Cámara o Google Lens hace lo mismo (en algunos Samsung quizá tengas que activar la lectura de códigos QR en los ajustes de la cámara). No necesitas una app lectora aparte.
2. Lee la dirección antes de tocarla. La vista previa muestra el sitio web. Fíjate en el dominio principal, que es la parte justo antes de la primera barra simple, como “ejemplo.com” en “pago.ejemplo.com/estacionar”.
3. Busca señales de alerta: errores de ortografía (paypa1, amaz0n), palabras de más (pago-estacionamiento-ciudad-seguro.site), terminaciones extrañas o un acortador de enlaces que oculta adónde lleva en realidad.
4. Recuerda que el candado o el “https” no prueban nada. Los sitios fraudulentos también usan conexiones seguras.
5. No escribas datos de pago ni de inicio de sesión en una página a la que llegaste por un código que no esperabas. Ciérrala y entra tú mismo al sitio o la app de la empresa.
6. Nunca instales una app o un perfil porque un código QR te lo pidió. Descarga apps solo de la App Store o de Google Play.

Qué hacer si ya escaneaste y diste tus datos

Actúa rápido: cuanto antes te muevas, menos daño podrá hacer el estafador.

Si escribiste datos de tu tarjeta o de tu banco

1. Contacta a tu banco o al emisor de tu tarjeta con el número que aparece en el reverso de la tarjeta o desde su app oficial. Cuéntales lo que pasó y pide que bloqueen la tarjeta y disputen los cargos.
2. Revisa tus movimientos recientes y sigue vigilando tus estados de cuenta en las próximas semanas.

Si escribiste una contraseña

1. Cámbiala de inmediato, y cámbiala también en cualquier otro sitio donde usaras la misma. Un administrador de contraseñas (guía en inglés) facilita tener contraseñas únicas.
2. Activa la verificación en dos pasos en esa cuenta; la guía para activar la autenticación de dos factores explica cómo.
3. Si crees que alguien ya entró, sigue la guía (en inglés) para recuperar y proteger una cuenta hackeada.

Si descargaste una app o un archivo

Bórralo, haz un análisis de seguridad y mantén tu celular actualizado. Si el celular empieza a comportarse raro, busca ayuda en el sitio de soporte del fabricante o en un taller de reparación local.

Denúncialo

• Estados Unidos: denuncia la estafa ante la Comisión Federal de Comercio en reportefraude.ftc.gov. Si el código estaba en un parquímetro o letrero de la ciudad, avisa también a la ciudad o a la autoridad de estacionamiento para que lo retiren.
• Canadá: denúncialo ante el Centro Antifraude de Canadá (Canadian Anti-Fraud Centre) a través de su sitio web, y ante la policía local.

Denunciar ayuda a que el mismo código falso no atrape a otras personas. Ten cuidado también después: a veces los estafadores vuelven a contactarte haciéndose pasar por tu banco o por un “servicio de recuperación” que promete devolverte el dinero a cambio de un pago. Los bancos y las agencias de gobierno reales no te pedirán eso. Si te pasó algo parecido, consulta qué hacer tras una estafa de soporte técnico.

Lista rápida

Situación	Qué hacer
Calcomanía con código QR en un parquímetro	Paga en la máquina o en la app de estacionamiento que ya tienes
Código QR en un correo o mensaje inesperado	No lo escanees; entra tú mismo al sitio de la empresa
Carta o factura con un código QR para pagar	Confirma con la organización usando datos de contacto que tú busques
Código del menú de un restaurante	En general está bien; no des datos de tarjeta salvo que confíes en la página
Ya diste tus datos	Primero el banco, luego las contraseñas y después la denuncia