¿Son seguros los códigos QR?
Qué puede y qué no puede hacerle un código QR a tu móvil, cómo funciona el phishing con QR y los pocos hábitos que hacen que escanear sea tan seguro como pulsar un enlace que puedes ver.
Respuesta cortaUn código QR es tan seguro como el enlace que contiene. Escanearlo no puede instalar nada ni tomar el control de tu móvil por sí solo, pero el código puede llevarte a una página de phishing o a una descarga maliciosa, y no ves la dirección hasta que se descodifica; por eso, lee la vista previa del enlace antes de tocarla.
Un código QR es un enlace que no puedes leer
La mayoría de códigos QR contienen una dirección web y nada más. El móvil descodifica el patrón, te muestra la dirección y solo la abre en el navegador cuando la tocas. En ese sentido, un código no es más peligroso que un enlace en un correo. En cómo funcionan los códigos QR se explica qué hay dentro del patrón.
La diferencia es que un enlace impreso se puede leer y un código no. Puedes echar un vistazo a un enlace y notar un dominio mal escrito; no puedes echar un vistazo a un código QR y notar nada. Ese es todo el riesgo, y es la razón por la que los usan los estafadores.
| Por sí solo, un código… | Pero puede llevarte a… |
|---|---|
| No puede instalar una app | Una página que te pide instalar una |
| No puede leer tus archivos, contactos ni fotos | Un formulario que te pide escribir datos personales |
| No puede cobrarte | Una página de pago falsa que parece real |
| No puede saber tus contraseñas | Una copia de una página de inicio de sesión que las captura |
| No puede cambiar los ajustes de tu móvil | Instrucciones o un archivo que te llevan a cambiarlos |
Algunos códigos contienen otras cosas: datos de una red wifi, una tarjeta de contacto o un SMS ya escrito. El móvil sigue preguntando antes de conectarse, guardar o enviar, así que lee ese aviso con el mismo cuidado que la vista previa de un enlace.
Cómo funcionan las estafas con códigos QR
El phishing con QR, a veces llamado quishing, es phishing de toda la vida con el enlace escondido en un código. Estos son los patrones que se repiten una y otra vez.
- Pegatinas sobre códigos reales. Se pega un código falso encima del auténtico en un parquímetro, un cartel de pago de aparcamiento, un cargador de coche eléctrico o una mesa de restaurante. Lleva a una página de pago que imita la del operador real.
- Códigos en correos. Un mensaje «del departamento de informática», de un banco o de un servicio para compartir documentos te pide escanear un código para iniciar sesión o volver a verificar una cuenta. Un código dentro de una imagen es más difícil de inspeccionar para los filtros de correo que un enlace escrito, y te lleva al móvil, donde la barra de direcciones es pequeña.
- Avisos falsos de entrega o de multa. Una tarjeta en el buzón o bajo el limpiaparabrisas dice que hay un paquete esperando o una tasa pendiente, y ofrece un código para pagar o cambiar la entrega.
- Códigos que empujan a una descarga. La página dice que necesitas una app para ver una carta, un documento o una sesión de aparcamiento, y enlaza a un archivo fuera de la tienda de aplicaciones oficial.
El hilo común es la urgencia más una petición de dinero, de una contraseña o de una instalación. Un código genuino de una carta o de información rara vez necesita nada de eso.
Cómo comprobar un código antes de tocarlo
- Escanea y detente en la vista previa del enlace. No lo toques todavía.
- Lee el dominio, la parte anterior a la primera barra simple. ¿Pertenece a la organización cuyo cartel o carta estás mirando?
- Busca casi coincidencias: palabras de más, letras cambiadas, terminaciones raras o un acortador de enlaces que oculta el destino real.
- Mira el propio código. ¿Es una pegatina sobre un cartel impreso? ¿Tiene los bordes despegados o está un poco descentrado?
- Si la página pide una contraseña, un número de tarjeta o instalar una app, ciérrala y ve tú mismo a la web o a la app oficial de la organización.
Si ya has introducido los datos de tu tarjeta en una página de la que ahora dudas, llama a tu banco cuanto antes. Si introdujiste una contraseña, cámbiala en la web real y en cualquier otro sitio donde la uses. En cómo escanear un código QR verás dónde aparece la vista previa en el iPhone y en Android.
Si pones códigos QR delante de tus clientes
Un negocio no puede impedir que alguien pegue un código falso en su cartel, pero sí puede hacer que el falso se note y que el real inspire confianza.
- Imprime el dominio junto al código. «Escanea o visita example.com/pagar» permite a los clientes comparar la vista previa con algo que imprimiste tú.
- Imprime el código en el propio cartel, en vez de aplicarlo como pegatina, para que un sustituto pegado encima se note. Revisa con frecuencia los carteles en lugares públicos.
- Coloca los códigos donde los vea el personal, o tras un cristal, en lugar de en postes sin vigilancia.
- Enlaza a tu propio dominio. Un código que abre el dominio de redirección de un tercero parece una estafa a ojos de un cliente prudente. Un código estático apunta directamente a tu dirección; mira QR estático vs dinámico.
- No pidas nunca contraseñas ni datos de pago en una página a la que se llega desde un código sin un dominio conocido y visible.
Los códigos creados en este sitio contienen exactamente lo que escribes, sin ninguna redirección de por medio, y lo que introduces nunca sale de tu navegador. Para los enlaces, el generador solo acepta direcciones web http:// y https://.
Crea un código que apunte directamente a tu propio dominio:Generar un código QR
Preguntas relacionadas
Escanear por sí solo no instala nada ni da acceso a tu móvil. El riesgo es la página que abre el código, que puede pedirte una contraseña, un pago o una descarga. Lee la vista previa del enlace y no la toques si algo no cuadra.
El quishing es phishing que usa un código QR en lugar de un enlace visible. El código lleva a una página falsa de inicio de sesión o de pago y, como la dirección está oculta hasta que se escanea, es más fácil pasar por alto que el sitio no es auténtico.
Revisa la dirección en la vista previa del escaneo antes de abrirla y asegúrate de que el dominio pertenece a la organización que esperas. Desconfía de las pegatinas sobre carteles y de cualquier página que pida contraseñas, datos de tarjeta o instalar una app.
Puede serlo, pero los parquímetros y los carteles de pago son objetivos habituales de pegatinas falsas. Comprueba que el código está impreso en el cartel y que la vista previa muestra el dominio real del operador, o usa la app oficial del operador.
Con cautela, sobre todo si el correo te pide iniciar sesión, verificar una cuenta o pagar. Entra directamente en la web de la organización en lugar de escanear un código que te han enviado.