Cómo detectar un código QR falso (y qué hacer si te toca)

Una pegatina con un código QR falso es un código que alguien ha pegado encima de uno legítimo, o un código colocado donde no debería haber ninguno, para que tu escaneo te lleve a un sitio controlado por el atacante. Puedes detectar la mayoría de ellos comprobando la superficie física en busca de señales de manipulación, escaneando solo códigos que esperas encontrar en ese lugar y leyendo la dirección web que muestra tu teléfono antes de tocar nada. Si ya escaneaste e introdujiste datos, actúa rápido: cambia la contraseña de la cuenta afectada, contacta a tu banco si pagaste o compartiste datos de tarjeta, y estate atento a intentos de phishing posteriores.

Por qué funcionan las pegatinas QR falsas

Los códigos QR son silenciosos. Una pegatina bien impresa se parece exactamente al tipo de código que un negocio usaría legítimamente, y la mayoría de la gente ha sido entrenada durante años de cartas, apps de aparcamiento y carteles de pago a escanear sin pensar. El teléfono hace el trabajo, así que el ojo deja de hacer el suyo.

El ataque en sí es simple. Alguien imprime un código que apunta a un sitio web imitado, pasa junto a un parquímetro o una mesa de restaurante, y lo pega sobre el código real. Cuando lo escaneas, aterrizas en una página que imita el sitio de pago oficial o la app, y pide datos de tarjeta o credenciales de acceso. Como iniciaste el escaneo tú mismo, la petición parece confiable de una forma en que un mensaje de texto aleatorio nunca lo sería.

En círculos de seguridad esto se llama "quishing", pero el nombre importa menos que la mecánica: el código QR es solo un enlace, y un enlace puede apuntar a cualquier sitio. Tu defensa es tratar cada escaneo como tratarías un enlace en un correo inesperado.

Dónde suelen aparecer los códigos falsos

Cualquier lugar donde un código te invite a pagar, iniciar sesión o descargar algo es un candidato. Los objetivos más comunes:

• Parquímetros y señales de aparcamiento por teléfono, donde un código falso puede llevar a una página de pago que capture los datos de tu tarjeta.
• Pegatinas en estaciones de carga públicas, anclajes de bicicletas compartidas y cargadores de vehículos eléctricos.
• Carteles y folletos de eventos, asociaciones benéficas o envíos, especialmente los que piden un depósito o una "tarifa de entrega".
• Códigos en las mesas de restaurantes para ver la carta y pagar.
• Paquetes y notas de entrega, donde un código falso de "rastrea tu paquete" puede llevar a una página de phishing que pide una tasa de reenvío o datos personales.
• Alrededores de cajeros automáticos, máquinas de billetes y cualquier terminal público con una superficie lisa y plana donde una pegatina pueda quedar a ras.

El hilo común es el dinero o las credenciales. Un código que lleva a una página de inicio de sesión de Wi-Fi es un objetivo mucho menos atractivo que uno que lleva a un formulario de pago, así que concentra tu desconfianza donde el código te pida pagar o identificarte.

Señales físicas de manipulación

Antes de escanear, dedica tres segundos a mirar el código. Buscas pruebas de que no pertenece a la superficie en la que está.

• Bordes y esquinas. Una pegatina colocada sobre un código impreso suele mostrar un borde levantado, una esquina ligeramente despegada o un contorno tenue donde fue presionada. Pasa una uña por el borde si la superficie lo permite.
• Calidad de impresión distinta. Los códigos oficiales de un parquímetro o un terminal de pago suelen estar impresos o grabados como parte del mobiliario. Una pegatina impresa en casa suele tener colores ligeramente diferentes, un acabado más brillante o pixelación visible alrededor de los módulos.
• Alineación. Si el código está torcido, descentrado o superpuesto a un texto con el que debería estar al lado, tómalo como sospechoso.
• Superposición. Dos códigos muy juntos, o una pegatina que cubre un marco o un logotipo que forma parte del diseño original, son una señal fuerte de encubrimiento.
• Desgaste que no encaja. Un código que parece nuevo sobre una superficie desgastada y decolorada no lleva ahí tanto tiempo como la superficie.
• Residuos de adhesivo. Manchas, burbujas o restos de pegatinas viejas alrededor del código sugieren que ese punto ya fue manipulado antes.

Ninguna de estas comprobaciones es infalible por sí sola. Un atacante cuidadoso puede imprimir una pegatina limpia y bien alineada. El punto es que la mayoría de las manipulaciones se hacen rápido y barato, y eso suele notarse.

Comprueba el enlace antes de abrirlo

El hábito más útil en seguridad con QR es este: tu teléfono te muestra a dónde lleva un código antes de que te comprometas. Úsalo.

En la mayoría de los teléfonos modernos, escanear un código QR con la app de cámara integrada genera una notificación o una banda que muestra la dirección web. No la toques de inmediato. Léela primero.

Qué buscar en la dirección:

• El dominio. Es la parte justo antes de la primera barra simple, y es la única que importa de verdad. En https://pay.parking-example.com/checkout, el dominio es parking-example.com. Todo lo que va antes del primer punto (pay.) y todo lo que va después de la primera barra (/checkout) es decoración que cualquiera puede elegir libremente.
• Errores de ortografía e imitaciones. Los atacantes dependen de pequeñas diferencias: paYment-site.com en lugar de payment-site.com, letras extra, letras intercambiadas o guiones donde no corresponden. Si hay dinero de por medio, lee el dominio letra por letra.
• Acortadores desconocidos. Las direcciones de acortadores de enlaces (normalmente dominios muy cortos seguidos de un código de aspecto aleatorio) ocultan por completo su destino. No puedes saber a dónde llevan sin resolverlos, así que trata los enlaces acortados de pegatinas físicas con desconfianza extra. Algunos servicios de acortamiento muestran una página de vista previa; si el tuyo no lo hace, no sigas el enlace cuando haya dinero o inicios de sesión de por medio.
• El candado no es una garantía. El icono del candado o "https" significa que la conexión está cifrada, no que el sitio sea honesto. Los sitios de phishing falsos también usan https. Nunca trates el candado como prueba de legitimidad.
• Presión inmediata. Si la página que abre el código exige que inicies sesión, pagues o introduzcas datos de tarjeta ahora mismo, esa urgencia es en sí misma una señal de alerta. Las páginas legítimas de aparcamiento y pago suelen dejar revisar primero qué estás pagando.

Si tienes dudas, escribe tú mismo la dirección web conocida de la organización en tu navegador en lugar de usar el código. Treinta segundos de escritura valen más que una tarjeta comprometida.

Señales de alerta después de escanear

Algunos ataques solo se hacen visibles cuando el código ya se abrió. Detente y sal si ocurre cualquiera de estas cosas:

• La página pide los datos de tu tarjeta para pagar algo que no seleccionaste, o pide un pago antes de mostrarte qué estás pagando.
• Aparece una página de inicio de sesión donde esperabas una carta, un horario o una lista de precios.
• El sitio te pide instalar una app o un perfil de configuración desde fuera de la tienda de aplicaciones oficial de tu teléfono.
• La página pide información que ningún proceso legítimo necesita en ese momento: el PIN completo de tu tarjeta, tu contraseña de banca en línea o los códigos de un solo uso de tu app bancaria.
• La dirección cambia varias veces en rápida sucesión, saltando por redirecciones antes de aterrizar en un lugar inesperado.
• La página parece un servicio conocido, pero el dominio en la barra de direcciones no coincide con el nombre real de ese servicio.

Retroceder no te cuesta nada. Introducir datos en una página falsa puede costarte mucho.

Qué hacer si ya escaneaste e introdujiste datos

Si te das cuenta a posteriori de que usaste una página falsa, la velocidad importa más que la vergüenza. Sigue estos pasos en orden:

1. Si introdujiste datos de tarjeta, contacta a tu banco de inmediato. Pide que bloqueen o reemplacen la tarjeta y denuncia la transacción. La mayoría de los bancos tiene una línea de fraude disponible las 24 horas; el número está en el reverso de tu tarjeta o en su sitio web oficial, no en ninguna página a la que te haya llevado el código QR.
2. Si introdujiste una contraseña, cámbiala ahora, en el servicio afectado y en cualquier otro sitio donde hayas reutilizado la misma contraseña. Si no usas un gestor de contraseñas, cambiar las contraseñas reutilizadas es el momento de empezar.
3. Si aprobaste un pago o un inicio de sesión, revócalo. Revisa la página de seguridad o de sesiones de la cuenta en busca de dispositivos desconocidos y cierra sus sesiones.
4. Si instalaste una app o un perfil, elimínalo, y después ejecuta el análisis de seguridad integrado de tu teléfono si lo tiene. En iPhone, revisa los Ajustes en busca de perfiles de configuración que no reconozcas; en Android, desinstala todo lo que no puedas justificar.
5. Vigila los ataques posteriores. Los atacantes que capturan tu número de teléfono o tu correo suelen dar seguimiento con mensajes y llamadas convincentes. Trata cualquier mensaje sobre el incidente con sospecha y contacta a las organizaciones por sus canales oficiales.
6. Denúncialo. Avisa al negocio cuyo código fue cubierto, y reporta el incidente a tu policía local o al servicio nacional de denuncia de ciberdelitos. Esto les ayuda a advertir a otros clientes y, a veces, a retirar la pegatina.

Guarda un registro de lo ocurrido, incluida la dirección a la que fuiste enviado y cualquier referencia de pago. Puede que lo necesites para tu banco o la policía.

Cómo pueden protegerse los negocios con sus propios códigos

Si tienes un negocio que usa códigos QR, proteges tanto a tus clientes como tu propia reputación. Medidas prácticas, aproximadamente por orden de impacto:

• Imprime la dirección de destino junto al código. Una dirección web corta y legible bajo el código permite a los clientes verificar a dónde lleva y les da una alternativa si desconfían de la pegatina. Es la protección más barata y eficaz disponible.
• Usa etiquetas a prueba de manipulación. Las etiquetas de seguridad que se rasgan, dejan un patrón o muestran "VOID" al despegarlas hacen que las pegatinas de encubrimiento sean evidentes y que manipularlas sea visiblemente arriesgado.
• Monta los códigos de forma que no puedan cubrirse. Las placas grabadas, los paneles encastrados o los códigos impresos directamente en el mobiliario son mucho más difíciles de reemplazar que una pegatina de papel sobre una superficie plana.
• Revisa tus códigos con regularidad. Añade una comprobación visual rápida a las rutinas existentes: el personal que abre un restaurante verifica los códigos de las mesas cada mañana, las rondas del operador de aparcamiento incluyen los parquímetros, una tienda revisa sus carteles de escaparate. Buscas pegatinas sobre tus códigos, residuos o códigos que se vean distintos de los que instalaste.
• Usa un dominio que controles y mantenlo corto. Una dirección corta y memorable es más fácil de verificar de un vistazo que una larga llena de parámetros.
• Evita enlaces acortados ciegos en público. Si tienes que usar un acortador, elige uno que muestre una página de vista previa para que quien escanee pueda ver el destino.
• Dile a los clientes cómo son tus códigos legítimos. Un aviso pequeño que diga "nuestra página de pago está en [dirección]; nunca pedimos su PIN" establece la expectativa de que verificar es normal.
• Reacciona rápido cuando encuentres manipulación. Retira el falso, limpia la superficie, reemplázalo por una versión a prueba de manipulación y advierte a los clientes por tus canales habituales.

Construir el hábito

La seguridad con QR no va de paranoia; va de un hábito aplicado con constancia: verificar antes de actuar. Mira el código físico en busca de señales de que no lo colocó el negocio. Lee la dirección que muestra tu teléfono antes de tocar. Rechaza las páginas que exigen inicios de sesión, pagos o instalaciones de apps bajo presión. Escribe las direcciones conocidas tú mismo cuando haya dinero de por medio. Y si tienes un negocio, haz que tus códigos sean físicamente difíciles de falsificar y dale a los clientes una forma de comprobarlos.

La tecnología no es el problema. Un código QR es un enlace, y los enlaces son seguros cuando lees a dónde van. El riesgo viene de escanear en piloto automático. Rompe el piloto automático y la mayoría de estos ataques fallan en el primer paso.

Conclusión

Las pegatinas QR falsas triunfan porque parecen ordinarias y porque escanear se siente como la opción segura y familiar. Tu defensa toma segundos: inspecciona la pegatina en busca de bordes levantados e impresión que no encaje, lee la dirección web antes de abrirla y nunca introduzcas datos de tarjeta ni contraseñas en una página a la que llegaste por un código que no verificaste. Si ya te atraparon, contacta a tu banco y cambia tus contraseñas de inmediato. Los negocios deberían imprimir la dirección de destino junto a cada código público, usar etiquetas a prueba de manipulación y revisar sus códigos con regularidad. La idea clave: trata cada código QR como un enlace de un desconocido hasta que hayas leído a dónde lleva realmente.