Códigos QR y enlaces acortados: doble ocultación del destino

Un código QR ya oculta su destino por naturaleza: el enlace está codificado en una imagen y resulta ilegible a simple vista. Cuando además ese enlace es una URL acortada — bit.ly, t.co, tinyurl.com u otro servicio similar — el destino final queda doblemente encubierto. Este es uno de los patrones más habituales en las campañas de quishing modernas.

Por qué los códigos QR contienen frecuentemente enlaces acortados

Hay razones legítimas para esta combinación:

• Diseño: Una URL larga genera un código QR con más módulos (más denso, más difícil de escanear). Un enlace corto produce un QR más limpio y fiable.
• Seguimiento: Los acortadores de URL incluyen estadísticas de clics. Las empresas los usan para medir cuántas personas escanean un QR en un folleto o cartel.
• Flexibilidad: Con un QR dinámico (que apunta a un acortador), el destino final puede cambiarse sin imprimir un nuevo código. Útil para empresas, pero también para atacantes que quieren actualizar su página de phishing sin reemplazar los adhesivos ya colocados.

El problema es que estas mismas ventajas técnicas sirven a los atacantes para ocultar sus intenciones.

El problema de la doble ocultación

Imagine el siguiente escenario: recibe un correo electrónico con un código QR. Lo escanea con el móvil. Su cámara muestra una vista previa: bit.ly/3xYzAbC. Eso es todo lo que puede ver. El acortador oculta el destino real, que podría ser banco-santander-verificacion.ru o cualquier otro dominio fraudulento.

Ni la vista previa de la cámara ni los filtros de seguridad del correo pueden ver más allá del acortador sin seguir la redirección. El usuario tampoco puede inspeccionarlo manualmente. Esta es la razón por la que la combinación QR + enlace acortado es especialmente peligrosa:

• El QR oculta el enlace a simple vista.
• El enlace acortado oculta el destino final incluso a quien tiene la URL.
• El destino real puede cambiar en cualquier momento sin modificar el QR ni el acortador visible.

Cómo resolver ambas capas con 2check.click

2check.click analiza no solo la URL que se pega, sino también todas las redirecciones intermedias hasta el destino final. Esto lo convierte en la herramienta adecuada para este tipo de doble ocultación.

1. Escanee el código QR con la cámara de su móvil o con una aplicación de lectura QR.
2. En lugar de pulsar para abrir el enlace, manténgalo pulsado y cópielo.
3. Pegue la URL — aunque sea un enlace acortado — en 2check.click.
4. El analizador seguirá las redirecciones hasta el destino final y le mostrará toda la cadena.

Qué muestra 2check.click

• La cadena completa de redirecciones: acortador → destino final.
• La puntuación de riesgo del destino final.
• La antigüedad del dominio de destino (un dominio muy reciente es señal de alerta).
• Indicadores de suplantación de marca o phishing en el destino.
• Si el destino final utiliza HTTPS o no.

¿Cuándo es legítimo un QR con enlace acortado?

Muchas organizaciones legítimas usan esta combinación: anuncios publicitarios, material de marketing, carteles de eventos. El acortador en sí mismo no indica fraude. Lo que importa es el destino final:

• ¿El dominio de destino corresponde a la marca o empresa anunciada?
• ¿El dominio tiene antigüedad razonable o fue registrado hace pocos días?
• ¿El sitio solicita datos sensibles de forma inesperada?

Si el destino final supera estas comprobaciones, el QR con acortador es probablemente seguro. Si no, no lo abra.

Consejos prácticos para escanear QR con más seguridad

• Nunca abra directamente un QR de un correo no solicitado. Copie la URL y analícela primero.
• En lugares públicos, compruebe si el QR tiene una pegatina sobre el original antes de escanearlo.
• Active la vista previa de URL en la cámara de su móvil para ver al menos el primer nivel de la URL.
• Use 2check.click cada vez que el destino visible sea un acortador desconocido.
• Si el contexto le genera dudas — una multa urgente, un paquete retenido, una alerta bancaria — acceda al servicio directamente desde el navegador en lugar de usar el QR.

Compruebe un código QR o enlace sospechoso

Pegue la URL del QR o el enlace en 2check.click para ver el destino real, las redirecciones y las señales de phishing antes de abrirlo.

Abrir el analizador de 2check.click

Preguntas frecuentes

¿Cómo sé si el QR que acabo de escanear contiene un enlace acortado?

La vista previa de su cámara o aplicación QR mostrará la URL. Si comienza con bit.ly/, t.co/, tinyurl.com/, ow.ly/, short.url/ u otro servicio de acortamiento conocido, contiene un enlace acortado. También puede haber acortadores de empresa menos reconocibles (por ejemplo, amzn.to/ para Amazon).

¿Puede una empresa legítima usar un QR con enlace acortado?

Sí. Es una práctica habitual en marketing y publicidad. El acortador en sí no es señal de fraude. Verifique siempre el destino final con 2check.click si tiene alguna duda sobre el contexto en que encontró el QR.

¿Qué es un QR dinámico y por qué es más arriesgado?

Un QR dinámico apunta a una URL de un servicio de gestión de QR o acortador, que a su vez redirige al destino real. El propietario del QR puede cambiar ese destino en cualquier momento sin imprimir un nuevo código. Un código físico que parecía legítimo al imprimirse puede haber sido modificado para apuntar a una página de phishing semanas después.

¿2check.click puede resolver cualquier acortador?

2check.click sigue las redirecciones HTTP hasta el destino final para la mayoría de los acortadores estándar. Algunos acortadores requieren un clic en el navegador para completar la redirección (redirección basada en JavaScript), lo que puede limitar la resolución automática. En ese caso, el analizador le mostrará hasta dónde pudo llegar y le indicará si el paso intermedio presenta señales de riesgo.

¿Los filtros del correo electrónico detectan los QR con enlaces acortados?

Por lo general, no. Los filtros antiphishing del correo analizan URLs en texto plano. Un código QR es una imagen y el enlace que contiene es invisible para el filtro. Aunque el enlace sea un acortador que apunta a phishing, el filtro no lo detectará. Esta es precisamente la razón por la que el quishing mediante QR resulta tan efectivo para los atacantes.