Introducción | El pequeño cuadrado que merece una segunda mirada
Los códigos QR forman parte de la vida diaria. Aparecen en menús, parquímetros, envases de productos, avisos de entrega, entradas para eventos, carteles de tiendas, páginas de donaciones y manuales de electrodomésticos, y se utilizan con frecuencia en actividades de seguridad válidas, como la configuración de la autenticación multifactor o la vinculación de dispositivos. La mayoría son legítimos y útiles. Abren un sitio web, una página de pago, un formulario o una descarga de aplicaciones en segundos.
Un código QR no es peligroso por sí mismo. Es simplemente una forma rápida y cómoda de abrir un enlace. El riesgo proviene de adónde te lleva ese enlace y de lo que la página te pide que hagas a continuación. La seguridad de los códigos QR comienza tratando cada escaneo como tratarías un enlace en un correo electrónico o mensaje de texto: útil cuando tiene sentido, arriesgado cuando parece inesperado, apresurado o fuera de lugar. Una breve pausa antes de escanear un código QR forma parte de la ciberprotección, el hábito diario de proteger tus cuentas, dispositivos e información personal antes de que algo salga mal.
Por qué es fácil confiar en los códigos QR
Los códigos QR eliminan el esfuerzo. Un escaneo te lleva directamente al siguiente paso. El problema es que el destino está oculto hasta que tu teléfono lee el código. Los estafadores utilizan esa brecha, especialmente cuando la gente está ocupada, distraída o en un lugar donde el código parece oficial. Un código en un cartel, paquete o quiosco de pago puede parecer fiable simplemente por el lugar donde aparece.
Además, muchas aplicaciones y dispositivos utilizan ahora códigos QR para conectar cuentas de forma segura, aprobar inicios de sesión o configurar funciones de seguridad. Aplicaciones como WhatsApp, Signal, Telegram, Discord y ChatGPT utilizan códigos QR para vincular un nuevo teléfono, tableta u ordenador a tu cuenta existente. En estos casos, escanear el código no es solo abrir una página web; en realidad, puede autorizar a un dispositivo a acceder a tu cuenta.
La gente tiende a confiar en estos códigos QR porque se han convertido en una parte normal y de baja fricción de la vida cotidiana. La mayoría de los usuarios no consideran el escaneo como una decisión de seguridad; lo ven como un paso de configuración rápido y a menudo lo aprueban sin mucho escrutinio.
Cómo funcionan las estafas con códigos QR
La mayoría de las estafas con códigos QR son estafas de phishing con un método de entrega diferente. En lugar de pedirte que hagas clic en un enlace, el estafador te pide que escanees un código. El objetivo suele ser recopilar información personal, credenciales de inicio de sesión o detalles de pago, o infectar tu dispositivo. En algunos casos, la página puede pedirte que descargues una aplicación o un archivo que no necesitas.
Estas estafas pueden ocurrir en espacios físicos y digitales. Se puede colocar un código falso sobre uno legítimo en un parquímetro, un cartel, la mesa de un restaurante o un quiosco de pago. Puede llegar en un mensaje de texto sobre un problema de entrega, un correo electrónico sobre un problema de cuenta o un folleto dejado en tu puerta.
Una versión se llama QR code brushing. En esta estafa, alguien envía o coloca un código QR con la esperanza de que tu curiosidad haga el resto. Puede aparecer dentro de un paquete no solicitado, en una postal o en un mensaje relacionado con una entrega, un servicio público, un premio o un servicio a domicilio.
En el phishing de autorización de código de dispositivo, un atacante te engaña para que apruebes su dispositivo como si fuera el tuyo. El atacante inicia un proceso de inicio de sesión para una aplicación, por ejemplo, Microsoft 365, en su propio ordenador, lo que genera un código QR destinado a conectar un nuevo dispositivo. En lugar de usarlo ellos mismos, te envían el código, a menudo disfrazado de algo rutinario como una invitación a una reunión o una solicitud de verificación de inicio de sesión. Cuando escaneas el código y apruebas la solicitud, estás autorizando al dispositivo del atacante a acceder a tu cuenta. Los sistemas de Microsoft emiten entonces al atacante un token de inicio de sesión válido, esencialmente un «pase» digital que permite al atacante acceder a tu cuenta de Microsoft 365 sin necesidad de tu contraseña de nuevo.
Las estafas con códigos QR están creciendo
Las estafas con códigos QR son una amenaza creciente, ya que los atacantes explotan cada vez más la confianza de las personas para robar credenciales, eludir las protecciones de seguridad y obtener acceso a cuentas en línea. El centro nacional de denuncia de fraudes del Reino Unido Action Fraud recibió 1.386 informes de personas atacadas en 2024, en comparación con 100 en 2019. Durante el cuarto trimestre de 2025, el Anti-Phishing Working Group informó que su miembro Mimecast detectó 655.673 códigos QR maliciosos únicos. El informe de Microsoft «Email threat landscape: Q1 2026 trends and insight» muestra que los ataques de phishing con QR aumentaron de 7,6 millones en enero de 2026 a 18,7 millones en marzo de 2026, un aumento del 146 % trimestre a trimestre.
El Centro de Quejas de Delitos en Internet del FBI ha emitido al menos tres anuncios de servicio público
sobre códigos QR maliciosos desde 2022 y la FTC, el Departamento de Transporte de la Ciudad de Nueva York, Hawaiian Electric, Fort Lauderdale y los organismos encargados de hacer cumplir la ley en varios países han emitido avisos a los consumidores en los últimos años.
Señales de que un código QR puede ser una estafa
Un código QR sospechoso suele basarse en tácticas familiares de estafas de phishing, como la urgencia, la suplantación de identidad o solicitudes que no coinciden con la situación.
- Ten cuidado si un código QR aparece en un paquete, mensaje, folleto o correo electrónico inesperado. Observa de cerca si parece estar impreso en una pegatina y colocado sobre otro código.
- Haz una pausa para examinar la URL que se muestra antes de hacer clic y no hagas clic si la dirección web parece mal escrita, acortada o no relacionada con la organización.
- Ten especial precaución con los códigos QR que aparecen en contextos de vinculación de dispositivos, inscripción en autenticación multifactor o inicio de sesión a menos que hayas iniciado la acción tú mismo.
- Procede con cautela si la página que se abre te pide contraseñas, datos de pago o información personal.
Una regla sencilla ayuda: Solo escanea códigos QR que esperabas y que provienen directamente de un servicio o dispositivo de confianza que tú mismo iniciaste. Si el resultado no coincide con el motivo por el que escaneaste, ¡DETENTE! Un menú no debería pedir tus datos bancarios. Un aviso de entrega no debería requerir información sensible antes de mostrar detalles básicos.
Cómo practicar la seguridad con códigos QR
No necesitas evitar los códigos QR por completo. El objetivo es desarrollar algunos hábitos de seguridad que se vuelvan automáticos.
- Usa la cámara integrada de tu teléfono en lugar de descargar un escáner QR de terceros.
- Mira la vista previa de la URL en tu teléfono para asegurarte de que la dirección web coincide con el sitio web que esperas visitar. Si el dominio no coincide, detente.
- Habilita la autenticación multifactor en todo lo que la admita, o las claves de acceso que ahora son ampliamente compatibles en las principales plataformas.
- Mantén tu teléfono y tus aplicaciones actualizados. Las protecciones del navegador y del sistema operativo funcionan mejor en las versiones actuales.
Cuando se trata de dinero, contraseñas o información personal, elige la ruta más larga. Escribe el sitio web oficial en tu navegador, abre directamente la aplicación de la empresa o utiliza un número de teléfono que sepas que es real. Mantén tu dispositivo actualizado, usa contraseñas seguras y activa la autenticación multifactor para las cuentas importantes.
Para obtener más ayuda con estos conceptos básicos, el GCA Cybersecurity Toolkit for Individuals gratuito ofrece pasos fáciles de seguir para fortalecer las contraseñas, proteger los dispositivos y reducir los riesgos cibernéticos comunes.
Qué hacer si crees que has escaneado un código QR malicioso
Primero, que no cunda el pánico. Lo que hagas a continuación depende de lo que haya ocurrido después del escaneo.
Si solo abriste una página web y no introdujiste información, cierra la pestaña. Si introdujiste un nombre de usuario o contraseña, cambia esa contraseña de inmediato. Activa la autenticación multifactor o crea una clave de acceso si está disponible.
Si introdujiste datos de pago, ponte en contacto con tu banco o proveedor de tarjeta de crédito y supervisa tus cuentas en busca de cargos desconocidos. Si descargaste una aplicación o un archivo, elimínalo, revisa los permisos que concediste y actualiza el sistema operativo de tu teléfono si no está al día. Guarda capturas de pantalla, mensajes, recibos o direcciones web relacionados con el incidente. Esos detalles pueden ayudarte si necesitas denunciar la estafa.
Si tu información personal puede haber sido expuesta, considera revisar tu informe de crédito, colocar una alerta de fraude o congelar tu crédito. Denunciar el incidente también puede ayudar a proteger a otros de la misma táctica.
La clave | La mejor protección es una pausa antes de escanear
Los códigos QR están diseñados para facilitar la vida, y la mayoría lo hacen. La cuestión no es que cada escaneo parezca sospechoso. Es dejar de confiar automáticamente en las cosas escaneables.
Los estafadores cuentan con el impulso. Quieren el toque rápido, el pago apresurado, el reflejo de seguir instrucciones porque el código parece normal. Tu mejor defensa es la pequeña pausa entre ver un código QR y actuar sobre él.
Esa pausa es donde reside la ciberseguridad. Es donde te das cuenta de la pegatina que no pertenece, la dirección web que parece extraña o la solicitud que no esperabas. Escanea cuando la fuente tenga sentido. Detente cuando no lo tenga. Unos segundos de precaución pueden proteger tu dinero, tus cuentas y la confianza que necesitas para moverte por el mundo digital de forma segura.
