Diez claves sobre códigos QR fraudulentos
Escanear un QR no confirma quién lo colocó ni qué acción propone. Comprueba el destino, el pago y el contexto antes de introducir datos o descargar.
Un código en una mesa o en un aviso parece una forma rápida de continuar. El dibujo no demuestra quién lo publicó. Quishing describe engaños que usan códigos QR para llevarte a una acción o destino fraudulento.
Un QR representa información codificada
Un código QR puede contener una dirección u otros datos que el lector interpreta para proponer una acción. El dibujo por sí solo no acredita el responsable ni la seguridad de lo que contiene. Un mismo formato se utiliza con fines legítimos y engañosos. Antes de continuar, mira qué va a abrir o autorizar tu móvil y relaciona esa acción con el contexto donde encontraste el código.
El contexto también puede falsificarse
Un correo con logotipo, un cartel o una hoja junto a una máquina puede aparentar pertenecer a una entidad. No uses solo esa presentación como prueba. Si la acción pide dinero o datos, consulta al responsable por una vía independiente. Que el código esté físicamente en un lugar conocido no garantiza que lo haya colocado su propietario ni que siga siendo el mismo que publicó originalmente.
Mira la acción antes de continuar
Escanear y leer una propuesta no equivale a introducir datos, instalar una aplicación o aprobar un pago. Detente en la vista previa cuando tu dispositivo la ofrezca y revisa qué solicita. No aceptes permisos adicionales para «verificar» el código sin comprender su necesidad. La comprobación útil se refiere a la acción concreta, y no requiere ejecutar pasos sensibles para descubrir después si el destino era el esperado.
Comprueba la dirección con atención
Si el QR lleva a una web, revisa su dirección y compárala con la del servicio conocido. HTTPS no acredita que pertenezca al negocio o entidad esperados. Una vista abreviada puede ocultar información, así que no decidas por una palabra familiar dentro de una dirección larga. Si la duda permanece, escribe la dirección oficial o usa la aplicación del servicio en lugar de continuar desde el código.
Una pegatina puede cambiar el destino
Las autoridades han documentado sustitución de códigos físicos mediante pegatinas, por ejemplo en contextos de pago. Eso no significa que cualquier pegatina sea fraudulenta. Si ves una superposición o algo no encaja, pregunta al responsable y elige otra vía de pago o consulta. No necesitas retirar ni manipular el cartel para investigar por tu cuenta, ni compartir públicamente acusaciones sobre quién pudo modificarlo sin evidencia adicional.
También puede llegar dentro de mensajes
Un QR en un correo, documento o imagen puede utilizar el mismo pretexto de urgencia que un enlace. Que necesites otro dispositivo para escanearlo no mejora la identidad del remitente. Comprueba la solicitud en el servicio por tu cuenta y evita trasladar datos a otra pantalla sin revisar el destino. La técnica cambia la puerta de entrada, pero conserva la necesidad de verificar quién pide qué acción.
El pago requiere revisar sus datos
Antes de autorizar un pago iniciado desde un QR, comprueba destinatario, importe y concepto en el servicio que utilizarás. No hagas una operación pequeña para averiguar si el destinatario es legítimo. Si no coincide con lo esperado, cancela y consulta por otra vía. Si ya pagaste y sospechas fraude, contacta al proveedor financiero por su canal habitual y conserva la referencia, sin prometer que cualquier operación podrá revertirse.
Descargar añade una decisión nueva
Si el código propone instalar un programa, comprueba si realmente necesitas una aplicación y llega a su canal oficial por separado. No aceptes perfiles, certificados o permisos porque una página diga que son necesarios para leer un menú o validar el código. Una descarga protegida durante el trayecto no demuestra que el archivo sea fiable. Si ya instalaste algo dudoso, sigue la ayuda oficial del sistema para revisar el dispositivo.
Revisa lo que hiciste después
Distingue abrir una dirección de entregar credenciales, autorizar o instalar. Si solo viste una página, no declares por eso comprometidas todas tus cuentas. Si escribiste una contraseña, revísala desde un dispositivo fiable y consulta sesiones; si compartiste datos financieros, contacta a su proveedor. Conserva contexto sin publicar secretos. Saber qué acción completaste permite responder con más precisión que tratar cualquier escaneo como el mismo incidente.
Elige otra vía si no encaja
No necesitas utilizar el código para completar una tarea que tiene un canal oficial alternativo. La tabla propone dónde empezar cuando destino, pago o descarga generan dudas. Si quieres reportar una posible manipulación, informa al responsable del lugar o servicio con hechos observados, sin difundir un código sospechoso como ejemplo funcional. Las vías de denuncia y sus requisitos deben comprobarse para tu territorio antes de enviar información personal.
Qué necesitas Dónde empezar Destino desconocido Web o aplicación oficial independiente QR físico dudoso Responsable del lugar Pago no reconocido Proveedor financiero Descarga instalada Ayuda oficial del sistema
Por dónde empezar
Antes del siguiente QR, mira qué acción propone y si puedes comprobarla por otra vía. En un pago, revisa destinatario e importe antes de autorizar.
Revisado el 12 de noviembre de 2026. Las funciones y rutas pueden cambiar; consulta la documentación vigente antes de aplicar cambios. Fuentes: FTC, engaños con QR · FBI, manipulación de QR · FTC, reconocer phishing.
Para ponerlo en práctica
La cámara o lector incluido suele permitir empezar; no necesitas comprar un lector para verificar la identidad del responsable.
- Lector con vista previa
Solo si tu equipo carece de ella y necesitas esa función; busca opciones gratuitas mantenidas y revisa permisos.
En esta guía no hay enlaces a tiendas. Diez Claves no tiene por ahora acuerdo de afiliación con ninguna tienda; cuando lo tenga, lo dirá aquí. Las alternativas gratuitas van siempre junto a las de pago.