Códigos QR falsos en la calle
Un código QR es barato de imprimir e imposible de leer a simple vista, lo que lo convierte en un buen sitio para esconder un enlace, un truco que suele llamarse quishing. Los patrones de abajo los han denunciado cuerpos de policía y agencias de consumo; la defensa es la misma para todos: ver la dirección antes de que se abra, y pagar o iniciar sesión por la aplicación o el sitio en que ya confías.
Pegatinas en parquímetros
El 3 de septiembre de 2026, la Comisión Federal de Comercio de Estados Unidos pidió a los conductores no escanear un código hallado en un parquímetro sin leer la dirección que abre, después de que estafadores taparan códigos legítimos con los suyos. El patrón no es nuevo: a finales de 2021 y principios de 2022, la policía de San Antonio y el departamento de transporte de Austin, en Texas, avisaron de pegatinas con códigos QR fraudulentos colocadas en parquímetros de ambas ciudades, 29 de unos 900 en Austin, que llevaban a páginas de pago falsas en una dirección parecida a la del proveedor real. Un parquímetro real muestra sus instrucciones impresas y cobra a través de la aplicación de la ciudad o de la propia máquina; una pegatina sobre el código impreso es la señal.
Códigos en correos y paquetes
Los correos de phishing llevan códigos QR porque una imagen se cuela por los filtros que leen enlaces. El código lleva a una página de inicio de sesión que imita a un banco, un proveedor de correo o un servicio de reparto. La Comisión Federal de Comercio publicó una alerta al consumidor sobre este patrón en diciembre de 2023, y el Centro de Denuncias de Delitos en Internet del FBI emitió un aviso público sobre códigos QR manipulados en enero de 2022. Un código en un paquete que no pediste, o una nota de «entrega fallida» con un código para reprogramar, pertenece a la misma familia.
Cartas, folletos y carteles
Un código en una carta o un folleto se sustituye con una pegatina en segundos. La página que abre puede parecer la real y pedir una tarjeta. Allí donde un código pide dinero o una contraseña, la pregunta no es si la página parece correcta, sino si la dirección es la que esperabas.
En qué fijarse
- La dirección, toda ella: paypa1 no es paypal, y un nombre conocido en el lugar equivocado (paypal.com.example.net) no es el sitio conocido.
- Una pegatina sobre un código impreso.
- Un enlace corto donde una empresa imprimiría el suyo.
- Una página que pide una contraseña o una tarjeta nada más escanear.
- En caso de duda, ciérrala y abre el servicio desde su propia aplicación.
Verdetto muestra la dirección completa antes de que se abra nada, marca los nombres parecidos, sigue los enlaces cortos hasta su destino cuando las consultas en línea están activadas y compara la dirección con una lista de avisos guardada en el teléfono. Nunca dice que un código sea seguro; dice qué comprobó y qué encontró.
¿Has encontrado un código así? La página de informes recibe el enlace, y una persona revisa cada informe.
Fuentes
- FBI Internet Crime Complaint Center, public service announcement I-011822-PSA, January 18, 2022: Cybercriminals Tampering with QR Codes to Steal Victim Funds
- Federal Trade Commission consumer alert, September 3, 2026: See a QR code parked somewhere? Don't scan it…yet!
- Federal Trade Commission consumer alert, Alvaro Puig, December 6, 2023: Scammers hide harmful links in QR codes to steal your information
- KVUE, January 2022: Fraudulent QR codes found on Downtown Austin parking pay stations
- KSAT, December 20, 2021: SAPD warns of QR code scam targeting public parking spots
Relacionado: Cómo comprobar el enlace de un código QR · ¿Por qué no usar simplemente la cámara?