¿Son seguros los códigos QR? Riesgos y cómo verificarlos
Los códigos QR son, en sí mismos, neutrales: son simplemente una forma de codificar información, normalmente una URL. Si ese código QR es seguro depende enteramente de a dónde conduce. Un mismo código QR puede llevar a una web legítima, a una página de phishing, a una descarga de malware o a una solicitud de pago fraudulenta.
Cómo funciona un código QR
Un código QR almacena datos en un patrón de cuadrados en blanco y negro. La mayoría de los códigos QR que se encuentran en la vida cotidiana codifican una URL. Cuando su cámara lee el código, el dispositivo abre esa URL automáticamente, sin que usted vea el texto completo del enlace ni pueda inspeccionarlo fácilmente.
Esa opacidad es exactamente lo que los atacantes aprovechan: el enlace está oculto dentro de la imagen.
Usos legítimos habituales de los códigos QR en España
- Multas de la DGT: Las notificaciones de la Dirección General de Tráfico pueden incluir un código QR que enlaza con la sede electrónica para pagar o recurrir la sanción.
- Correos y paquetería: Los avisos de entrega de Correos o empresas de mensajería incluyen QR para hacer seguimiento del envío o confirmar una recogida.
- Restaurantes: Las cartas digitales mediante código QR en la mesa son muy comunes desde 2020.
- Parkímetros: En muchas ciudades españolas los parkímetros ofrecen un código QR para pagar el estacionamiento con el móvil.
- Facturas y recibos: Algunas empresas incluyen QR en facturas para acceder al portal de cliente o verificar el documento.
¿Cuándo se vuelven peligrosos los códigos QR?
- Pegatinas sobre QR reales: Los estafadores pegan un código QR falso encima del original en parkímetros, mesas de restaurante o puntos de carga eléctrica.
- QR en correos de phishing: En lugar de un enlace clicable, el correo muestra un código QR. Los filtros antiphishing analizan enlaces de texto, no imágenes, por lo que el QR pasa desapercibido.
- QR en cartas o notificaciones falsas: Una multa falsa de la DGT, un aviso de Correos inventado o una factura manipulada pueden incluir un QR que conduce a una página fraudulenta.
- Folletos impresos con QR: Anuncios en buzones, carteles en la calle o flyers de sorteos que parecen legítimos pero llevan a sitios de recolección de datos.
Cómo comprobar un código QR antes de abrirlo
- Active la vista previa de URL en la cámara de su móvil: la mayoría de smartphones muestran el destino del QR antes de que usted pulse para abrirlo.
- Examine físicamente el código: si es un adhesivo sobre una superficie, compruebe si tiene bordes levantados o si parece superpuesto sobre otro código.
- Copie la URL mostrada y analícela en 2check.click antes de abrirla.
- Desconfíe de cualquier QR que le pida introducir datos bancarios, contraseñas o información personal.
¿Cuándo puede confiar en un código QR?
Mayor confianza cuando:
- El código está impreso directamente sobre el soporte, sin adhesivo encima.
- Proviene de una fuente que usted ha solicitado o controlado (su propio paquete, una sede oficial).
- La vista previa de la URL muestra un dominio conocido y coherente con el contexto.
Mayor precaución cuando:
- El QR llega en un correo o SMS no esperado.
- Le pide pagar, iniciar sesión o confirmar datos urgentemente.
- La vista previa de la URL muestra un dominio desconocido o con caracteres extraños.
Compruebe un código QR o enlace sospechoso
Pegue la URL del QR o el enlace en 2check.click para ver el destino real, las redirecciones y las señales de phishing antes de abrirlo.
Preguntas frecuentes
¿Puede hacerme daño simplemente escanear un código QR?
El escaneo en sí mismo es generalmente inofensivo. El riesgo aparece cuando abre la URL resultante y después introduce datos o descarga archivos. Sin embargo, algunas vulnerabilidades en navegadores pueden activarse al cargar una página, así que lo más seguro es copiar la URL y analizarla antes de abrirla.
¿Cómo sé si el QR de un parkímetro es falso?
Observe si hay una pegatina superpuesta: los adhesivos tienen bordes palpables y a menudo el acabado es diferente al del panel original. Compare con otros parkímetros de la misma zona. Si la URL de destino no corresponde al Ayuntamiento o a la empresa de parking contratada, no pague.
¿Son seguros los QR de los restaurantes?
La mayoría sí, especialmente si el código está impreso directamente en la mesa o en un soporte oficial del local. Tenga más cuidado con pequeñas pegatinas que parecen añadidas posteriormente. La vista previa de la URL debe mostrar el dominio del restaurante o de su plataforma de pedidos habitual.
¿Qué es el quishing?
Quishing es el término técnico para el phishing que utiliza códigos QR como vector de ataque. El nombre combina QR y phishing. Consulte nuestra guía sobre estafas con códigos QR para conocer cómo funcionan estos ataques en detalle.
¿Las multas de la DGT siempre incluyen un código QR?
Algunas notificaciones electrónicas de la DGT sí incluyen QR para acceder a la sede electrónica. Si tiene dudas sobre la autenticidad de una notificación, acceda directamente a sede.dgt.gob.es escribiendo la dirección en el navegador, sin usar el QR.