Cuidado al escanear: la estafa del código QR que puede robar tus datos y tu dinero

Un pequeño cuadrado que puede esconder una gran trampa

Los códigos QR están en todas partes: restaurantes, aparcamientos, carteles, entradas y envíos. Son cómodos porque evitan escribir una dirección web. El problema es que un código impreso no garantiza que su destino sea legítimo.

En abril de 2026, la Policía Nacional advirtió de los riesgos del QRishing, una modalidad de phishing que se aprovecha de la confianza que depositamos en los códigos QR. En septiembre del mismo año, la Comisión Federal de Comercio (FTC) de Estados Unidos alertó de códigos fraudulentos colocados encima de otros auténticos en parquímetros.

¿Qué es exactamente el quishing?

El término combina QR y phishing. Consiste en usar un código QR para llevar a la víctima a una web falsa, donde pueden solicitarle una contraseña, datos de una tarjeta o un pago. En algunos casos también se intenta que descargue archivos peligrosos.

El código QR no roba nada por sí mismo: normalmente el riesgo aparece al abrir el enlace de destino, introducir información sensible, realizar un pago o instalar algo que no deberíamos.

La trampa de la pegatina: así puede funcionar

1. El delincuente imprime un código QR que conduce a su propia web.
2. Lo coloca sobre un código legítimo de un cartel, parquímetro o establecimiento.
3. Una persona lo escanea creyendo que accede al servicio auténtico.
4. La página imita a la original y solicita datos personales, bancarios o de acceso.
5. Si la víctima facilita esa información, el estafador puede intentar utilizarla.

También pueden llegar códigos QR a través de mensajes sobre supuestos paquetes pendientes, incidencias bancarias o cuentas bloqueadas. La urgencia es una señal de alarma habitual.

Seis señales para detectar un código QR sospechoso

1. Es una pegatina colocada encima de otra. Si el código parece manipulado, no lo utilices.
2. La dirección web no coincide con la empresa. Revisa la vista previa antes de abrir el enlace.
3. La página te mete prisa. Desconfía de amenazas de multas, cierres de cuenta o pagos inmediatos.
4. Te pide demasiados datos. Una simple carta de restaurante no necesita tu contraseña bancaria.
5. Te obliga a instalar una aplicación desconocida. Busca primero la aplicación en la tienda oficial.
6. Recibes un QR inesperado. Comprueba el aviso por otra vía, sin utilizar el contacto que aparece en el mensaje sospechoso.

¿Ya has escaneado uno? Esto es lo que debes hacer

Si solo lo has escaneado: no significa automáticamente que te hayan robado información. Cierra la página sospechosa y no descargues nada ni introduzcas datos.

Si has escrito una contraseña: cámbiala desde la web o la aplicación oficial. Si la reutilizas en otros servicios, cámbiala también allí y activa la verificación en dos pasos.

Si has dado datos de una tarjeta o pagado: contacta cuanto antes con tu banco mediante un canal oficial, revisa movimientos y consulta las opciones de bloqueo o reclamación.

Si instalaste una aplicación extraña: deja de usarla, comprueba los permisos y busca asistencia técnica fiable. En España puedes solicitar orientación sobre ciberseguridad a INCIBE a través del 017.

La regla más sencilla: comprueba antes de pulsar

Los códigos QR no son malos ni hay que dejar de utilizarlos. La recomendación es tratarlos como cualquier otro enlace de Internet: comprobar de dónde vienen, revisar la dirección y desconfiar de peticiones inesperadas de dinero o contraseñas.

Si tienes dudas al pagar el estacionamiento, abre directamente la aplicación oficial o pregunta al responsable del servicio. Si estás en un restaurante y el código resulta sospechoso, solicita la carta por otro medio.

Recuerda: que un código QR esté pegado a un cartel oficial no significa que el enlace al que conduce sea oficial.