Estafas con códigos QR: llamadas falsas y pagos fraudulentos

Los códigos QR se han vuelto tan comunes que casi nadie duda antes de escanearlos: los vemos en parquímetros, menús de restaurantes, carteles publicitarios, paquetes y hasta en correos que parecen oficiales. Esa confianza es justo lo que aprovechan los estafadores. Un código QR manipulado o falso puede redirigirte a una página que pide tus datos bancarios, a un formulario de pago fraudulento o a un número de teléfono controlado por delincuentes que se hacen pasar por tu banco, una empresa de mensajería o un organismo público. A esta táctica se le suele llamar "quishing" (phishing por QR), y funciona precisamente porque un código QR no muestra el enlace real hasta que lo escaneas.

Cómo funcionan estas estafas

Existen dos variantes principales. En la primera, el QR te lleva a una web que imita a un banco, una tienda o un servicio de pago, donde te pide introducir tu tarjeta o tus credenciales para "verificar" una compra o desbloquear un paquete. En la segunda, el código no abre ninguna web de pago, sino que muestra un número de teléfono o inicia una llamada; al contestar, una persona (o una grabación) se hace pasar por soporte técnico, tu banco o una autoridad y te presiona para que reveles códigos de verificación, contraseñas o hagas una transferencia "de comprobación".

Los delincuentes suelen colocar estos QR en lugares con mucho tráfico y poca vigilancia: pegatinas sobre el código legítimo de un parquímetro, carteles falsos de "escanea para reclamar tu premio", supuestas multas de tráfico dejadas en el parabrisas, o incluso en correos electrónicos y mensajes de texto que imitan avisos de paquetería o de la administración pública.

Señales de alerta antes de escanear

• Una pegatina de QR pegada sobre otra, mal alineada o que se despega fácilmente en un sitio donde antes había un código impreso oficial.
• Carteles o folletos sueltos que aparecen de la nada anunciando premios, reembolsos, descuentos exagerados o multas urgentes.
• Mensajes de texto o correos no solicitados que incluyen un QR y transmiten urgencia ("tu paquete no pudo entregarse", "tu cuenta será suspendida").
• Códigos QR en anuncios impresos que sustituyen por completo la información de contacto habitual, sin ningún otro dato de la empresa.
• Cualquier QR que, tras escanearlo, te lleve directamente a pedir datos de tarjeta, contraseñas o a marcar un número desconocido.

Cómo comprobar un QR antes de escanearlo

La mayoría de estos riesgos se evitan con un hábito sencillo: nunca escanear a ciegas y confiar en lo que aparece después.

• Mira la vista previa del enlace. La cámara del teléfono o la app de lectura suelen mostrar la URL antes de abrirla. Léela con calma: fíjate en el dominio real, no solo en si "parece" oficial. Nombres con errores, palabras añadidas o extensiones raras son señal de alerta.
• Desconfía si el QR sustituye a un canal oficial. Si vas a pagar un parquímetro, una multa o un servicio público, compara con la web o el número oficial que ya conocías antes; si no coinciden, no continúes.
• No introduzcas datos sensibles desde una página abierta por QR. Si necesitas pagar algo, mejor entra manualmente escribiendo la dirección oficial en el navegador o usa la app oficial de la entidad.
• Revisa el aspecto físico del código cuando esté en un cartel o pegatina: si está superpuesto, torcido o no coincide con el resto del diseño, es sospechoso.
• Ten cuidado con QR recibidos por mensaje o correo de alguien que no esperabas, aunque diga ser tu banco o una empresa de paquetería.
• Si el QR te pide llamar a un número, no lo hagas directamente: busca el número de atención oficial de la empresa por otro medio y llama tú mismo.

Qué hacer si ya escaneaste uno sospechoso

Si escaneaste un QR y llegaste a una página que pedía datos de pago, pero no llegaste a introducir nada, simplemente cierra la página y no vuelvas a abrirla. Si sí introdujiste datos de tu tarjeta o de tu banca en línea, contacta de inmediato con tu banco usando el número que aparece en tu tarjeta o en su web oficial, para bloquear la tarjeta o revisar movimientos.

Si el QR te llevó a una llamada telefónica y durante esa llamada compartiste códigos de verificación, contraseñas o hiciste alguna transferencia, avisa a tu banco sin demora y cambia las contraseñas de las cuentas que puedan verse afectadas. También es buena idea reportar el número que te llamó o al que te indicaron marcar en este servicio, para que otras personas puedan verlo si reciben contacto del mismo número.

Buenas prácticas para el día a día

No hace falta dejar de usar códigos QR, son una herramienta útil, pero conviene tratarlos con la misma cautela que un enlace recibido por correo. Antes de escanear, pregúntate quién lo puso ahí y si tiene sentido en ese contexto. Si un anuncio en la calle, un correo o un mensaje de texto te genera urgencia o te ofrece algo demasiado bueno, tómate un momento antes de actuar. Esa pausa es, en la mayoría de los casos, suficiente para evitar caer en la trampa.