Códigos QR falsos: casos reales y cómo detectarlos
Más allá de los ataques digitales, existe una categoría de fraude con códigos QR que ocurre en el mundo físico: los estafadores colocan adhesivos con sus propios códigos QR sobre los originales en lugares de uso cotidiano. A continuación se describen los escenarios más frecuentes, con ejemplos del contexto español, y las claves para detectarlos.
Escenarios de estafa con QR falsos
Parkímetros con pegatina QR falsa
En varias ciudades europeas — incluyendo casos documentados en España — se han colocado adhesivos con QR fraudulentos sobre los códigos QR de pago de los parkímetros municipales. El usuario escanea el código, introduce sus datos de tarjeta en una página que imita el portal del Ayuntamiento o de la empresa gestora del parking, y el cargo va directamente al estafador. El vehículo queda sin el ticket válido.
Señales de alerta: la página de pago no tiene el dominio del Ayuntamiento correspondiente; el QR parece una pegatina sobre el panel original; no se emite ningún comprobante válido.
QR en mesas de restaurante
Los restaurantes españoles adoptaron masivamente la carta digital por QR a partir de 2020. Los estafadores aprovechan este hábito: colocan una pequeña pegatina con su propio QR sobre el código del local. En el mejor de los casos, la carta falsa simplemente no funciona; en el peor, la página solicita datos de pago para "reservar mesa" o para acceder al menú de pedidos.
Cómo inspeccionarlo: levante ligeramente la esquina del QR con la uña — si hay una pegatina encima de otra, lo notará. El dominio de destino debe coincidir con el nombre o la web conocida del restaurante.
Correos electrónicos con QR sobre avisos de paquete
Una táctica creciente es el envío de correos que imitan a Correos, SEUR, MRW o DHL, con un código QR en lugar de un enlace de seguimiento. El pretexto habitual: "Su paquete está retenido. Escanee el QR para confirmar la dirección de entrega o pagar los gastos de aduana." El QR conduce a una página de phishing que captura nombre, dirección y datos bancarios.
Lo que distingue el fraude: las empresas de mensajería legítimas incluyen el número de seguimiento en texto plano y permiten consultarlo en su web oficial; no exigen pago por QR en un correo no solicitado.
Avisos de multa falsos de la DGT
Cartas en papel o correos electrónicos que imitan el diseño oficial de la Dirección General de Tráfico incluyen un código QR para "pagar la sanción con descuento en 20 días". La página de destino reproduce el aspecto de la sede electrónica de la DGT pero está alojada en un dominio falso.
Cómo verificarlo: la sede real de la DGT es sede.dgt.gob.es. Cualquier otro dominio (dgt-pago.com, multa-dgt.es, etc.) es fraudulento. Acceda siempre escribiendo la dirección directamente en el navegador.
QR de verificación bancaria falsos
Correos o SMS que imitan a bancos españoles (CaixaBank, Santander, BBVA, ING) informan de un acceso no autorizado o un bloqueo de cuenta y proporcionan un QR para "verificar su identidad". El QR lleva a una réplica de la app o web del banco diseñada para robar credenciales.
Regla general: los bancos nunca envían un QR para que introduzca su contraseña. Ante cualquier aviso de seguridad, acceda a la app oficial o a la web del banco desde el marcador que tenga guardado.
Cómo inspeccionar un código QR antes de usarlo
- Examine el soporte físico: ¿El código está impreso directamente sobre la superficie o es una pegatina? Pase el dedo: un adhesivo tiene bordes perceptibles.
- Compare con el entorno: ¿El acabado, el color o el material del QR difieren del resto del panel o cartel?
- Lea la vista previa de la URL: Antes de pulsar para abrir, su cámara o aplicación QR mostrará el dominio. Compruebe que coincide con lo esperado.
- Copie y analice: Mantenga pulsada la URL en la vista previa, cópiela y péguela en 2check.click para ver el destino real y detectar señales de phishing.
- No introduzca datos si tiene dudas: Si el dominio de destino no le resulta familiar o no coincide con el organismo o empresa en cuestión, no facilite ningún dato.
Qué hacer si descubre un QR falso
- No lo escanee más ni lo toque innecesariamente (puede servir como prueba).
- Avise al responsable del lugar: el Ayuntamiento, el restaurante, la empresa gestora.
- Fotografíe el QR falso como evidencia antes de que lo retiren.
- Denuncie ante la Policía Nacional o la Guardia Civil, y ante el INCIBE (teléfono 017 o incibe.es).
Compruebe un código QR o enlace sospechoso
Pegue la URL del QR o el enlace en 2check.click para ver el destino real, las redirecciones y las señales de phishing antes de abrirlo.
Preguntas frecuentes
He pagado en un parkímetro con un QR que resultó ser falso. ¿Qué hago?
Contacte con su banco inmediatamente para reportar el cargo fraudulento y solicitar su reversión. Guarde el comprobante de la transacción y fotografías del parkímetro. Ponga una denuncia ante la Policía Nacional o la Guardia Civil. El banco iniciará un proceso de reclamación que en la mayoría de los casos resulta exitoso si se actúa con rapidez.
¿Son peligrosos los QR de los restaurantes en general?
No, la gran mayoría son completamente legítimos. Extremar la precaución con pegatinas añadidas sobre el soporte del local, especialmente en zonas turísticas o establecimientos con mucha rotación. Si el dominio de destino parece desconocido, pregunte al personal del local cuál es su web.
¿Puede un QR impreso en papel ser falso igualmente?
Sí. Una carta o folleto impreso en papel puede contener un QR que lleve a una página fraudulenta, aunque no haya pegatina. El soporte físico no garantiza la legitimidad del destino. Siempre verifique la URL antes de abrir o introducir datos.
¿La DGT me enviará realmente una multa por correo electrónico con QR?
La DGT notifica las sanciones a través de la Dirección Electrónica Vial (DEV) para quienes estén suscritos, y por correo postal certificado para el resto. Los correos electrónicos no solicitados con logotipo de la DGT y un QR de pago son, con alta probabilidad, fraude. Acceda a sede.dgt.gob.es directamente para comprobar si tiene sanciones pendientes.
¿Qué diferencia hay entre un QR impreso y un QR con pegatina?
Un QR impreso directamente sobre el soporte forma parte del material original: mismo acabado, sin bordes. Un QR en pegatina tiene una capa adhesiva perceptible al tacto y puede mostrar bordes o diferencias de textura. En caso de duda, pase el dedo por encima del código antes de escanearlo.