QR malicioso: evita estafas y quishing al escanear

QR malicioso: así se llama al código QR que te lleva a una web falsa, a una descarga peligrosa o a un pago “trampa” sin que lo veas venir. Y el problema es justo ese: un QR sospechoso no te enseña el destino a simple vista. Por eso el “quishing” (phishing con códigos QR) funciona tan bien en la vida real: una pegatina encima del QR correcto, un cartel convincente o un mensaje con urgencia, y acabas escaneando sin mirar. En este artículo te enseño a detectar un QR malicioso antes de abrir nada, a comprobar la URL en móvil y en PC, y a actuar si ya has caído. Todo con pasos claros, sin dramatismos y con hábitos que de verdad reducen riesgos.

Qué es un QR malicioso y por qué el quishing se aprovecha de eso

Un QR malicioso es un código QR que apunta a un destino pensado para engañarte. Puede ser una web que imita a tu banco, un formulario para “verificar” tu cuenta o un pago falso que parece oficial. Y, aunque suene obvio, la clave está en que el QR malicioso no “se ve” como un enlace normal. En un texto, tú puedes leer la URL y desconfiar. En un QR, el destino está oculto hasta que lo escaneas.

Por eso el quishing ha crecido tanto: el atacante no necesita escribirte un email perfecto. Le basta con colocar un QR malicioso en el lugar correcto o mandarte una imagen convincente. Además, muchas personas escanean en modo automático, sobre todo si están en la calle, con prisa o siguiendo instrucciones de un cartel.

Cómo te la cuelan en la vida real: pegatinas, acortadores y urgencias

En el mundo real, lo más común es lo simple. Un QR malicioso puede ser una pegatina puesta encima del QR legítimo. Así, tú ves un cartel oficial, pero escaneas otra cosa. También se usa mucho en zonas donde nadie quiere “molestar” preguntando: parkings, restaurantes, máquinas expendedoras, puntos de recarga o anuncios en la calle.

Otra vía típica son los acortadores y redirecciones. Te enseñan una URL corta que parece inofensiva y, después, te mandan a una web que cambia de dominio. Ese salto es justo lo que dificulta detectar el QR malicioso a primera vista. Y, para rematar, el mensaje suele meter prisa: “paga antes de 10 minutos”, “evita la multa”, “confirma el envío”.

Un detalle menos conocido, pero real, es el “aprovechamiento” de códigos antiguos. Si un QR llevaba a un dominio que caducó, alguien puede registrar ese dominio y convertirlo en un QR malicioso sin tocar el cartel original. Por eso, incluso un QR “de siempre” puede volverse peligroso con el tiempo.

Señales rápidas para detectar un QR sospechoso

No siempre vas a poder “demostrar” que un QR malicioso lo es. Sin embargo, sí puedes detectar señales que, juntas, te recomiendan parar. Y, si paras a tiempo, el engaño no avanza.

• El QR está tapado con otra pegatina o parece recién añadido.
• La previsualización muestra una URL con faltas, letras raras o dominio desconocido.
• El destino no usa https o te lleva a un dominio larguísimo y confuso.
• Te pide instalar una app o dar permisos que no encajan con “ver un menú” o “pagar parking”.
• Te mete urgencia o amenazas (“último aviso”, “multa”, “cuenta bloqueada”).

Antes de escanear: comprobaciones que te ahorran un susto

Si solo te quedas con una idea, que sea esta: el objetivo no es “no escanear nunca”. El objetivo es que un QR malicioso no te pille en modo automático. Y eso se consigue con una rutina de 10 segundos, sobre todo cuando hay pagos o datos personales.

Primero mira el soporte. Si es un QR en una máquina o en un poste, revisa si parece alterado. Después, previsualiza la URL y léela como si fuera un anuncio. Por último, decide si esa acción tiene sentido con lo que estás haciendo. Parece básico, pero funciona.

Cómo comprobar la URL sin abrirla del todo

La previsualización de enlaces es tu mejor aliada contra un QR malicioso. Muchos lectores de QR (incluida la cámara del móvil) te muestran el enlace antes de abrir. Ahí es donde se decide todo. Si ves un dominio raro, una mezcla de letras que no tiene sentido o un nombre que imita a una marca con una letra cambiada, para.

Además, fíjate en el “final” del dominio. A veces el atacante mete un nombre conocido dentro de un subdominio para confundir. Por ejemplo, algo como “banco” dentro de un dominio que no es el del banco. Por eso conviene leer el dominio de derecha a izquierda, con calma.

Si el enlace está acortado, mejor no seguir salvo que puedas verificar el destino. Si necesitas comprobarlo sí o sí (por ejemplo, porque es un QR de trabajo), abre el enlace en modo seguro y analiza la URL con un servicio de reputación. Para eso suele funcionar bien VirusTotal, porque te permite revisar dominios y enlaces antes de interactuar con la web.

Si quieres entender por qué este tipo de engaños cuelan tanto, te puede ayudar esta lectura sobre cómo reconocer trampas de ingeniería social. Al final, el QR malicioso es solo el “anzuelo”. Lo potente es el contexto y la prisa.

Tabla rápida: dominios normales vs dominios que deberían hacerte dudar

Esta tabla no pretende que memorices nada. Sirve para entrenar el ojo. Un QR malicioso suele apoyarse en dominios confusos, redirecciones y “parecidos razonables”. Si detectas el patrón, ya estás ganando.

QR malicioso en móvil: cómo escanear con seguridad en Android y iPhone

El móvil es donde más se juega el quishing, porque es el dispositivo “natural” para un QR. La buena noticia es que, bien usado, el móvil también te da señales claras para detectar un QR malicioso. La clave está en no tocar “abrir” a ciegas y en desconfiar cuando el QR pide más de lo que debería.

QR malicioso en Android: previsualiza y limita lo que abres

En Android, la cámara o Google Lens suelen mostrarte el enlace antes de abrirlo. Ahí es donde decides si sigues o no. Si la URL es rara, si parece un acortador o si no encaja con el sitio donde estás, cancela. Además, si te propone descargar un archivo, plantéate que puede ser un QR malicioso intentando colarte una app falsa.

• Escanea y lee la URL completa antes de abrir.
• Si pide instalar, no lo hagas desde el enlace. Busca la app en Google Play por tu cuenta.
• Si la web pide tarjeta o claves y no era lo esperable, corta y verifica.
• Si dudas, analiza la URL con VirusTotal antes de seguir.

QR malicioso en iPhone: previsualiza y evita permisos que no tocan

En iPhone, la cámara suele detectar el QR y te muestra un aviso con el enlace. Esa pantalla es tu filtro. Si el dominio es desconocido o si el enlace parece “extraño”, no entres. Un QR malicioso suele intentar que llegues a Safari y, desde ahí, te empuje a una página que imita a una real.

• Escanea y no abras sin leer el dominio.
• Evita introducir contraseñas si llegas desde un QR: mejor entrar desde la app oficial.
• Si te pide permisos raros o perfiles, cancela: es una señal muy mala.

Si te interesa reforzar tus accesos para que un robo de contraseña haga menos daño, aquí tienes un paso útil: cómo activar passkeys en iPhone, Android y PC. No evita todos los QR maliciosos, pero sí reduce el impacto si acabas tecleando credenciales donde no debías.

QR malicioso en PC: cuando el código aparece en un email o en una web

En PC pasa algo curioso: muchas veces no necesitas escanear. Si el QR malicioso viene en un email, suele ser porque quieren saltarse filtros anti-phishing. Sin embargo, tú puedes romper el truco con una regla simple: busca el enlace original y verifica el remitente por otro canal.

Si el QR está dentro de una web, mira si hay un enlace alternativo o un texto que puedas copiar. Y, si solo hay un QR, pregúntate por qué. Las empresas serias suelen ofrecer una ruta normal (web/app) además del QR. Si no existe, ya tienes una señal de riesgo.

• Si te llega por email, revisa el remitente y no actúes desde el QR.
• Si necesitas entrar, escribe tú la web oficial en el navegador.
• Si el mensaje mete prisa, desconfía: el quishing vive de la urgencia.

Para tener una visión más completa del “mapa” de amenazas, te puede venir bien este repaso a los riesgos de seguridad informática más comunes. Así encajas el QR malicioso dentro del conjunto, en lugar de verlo como un caso aislado.

Si ya has abierto un QR malicioso: qué hacer en los primeros 15 minutos

A veces el fallo ocurre. Y no pasa nada por reconocerlo. Lo importante es actuar rápido y con cabeza, porque en un QR malicioso el daño suele venir de lo que haces después: introducir datos, autorizar un pago o instalar una app falsa. Por eso, el objetivo aquí es cortar la cadena.

1. Si la web te pidió datos y los diste, cambia la contraseña desde la web o app oficial (no desde el enlace).
2. Si metiste datos bancarios, contacta con tu banco y revisa movimientos. Cuanto antes, mejor.
3. Si instalaste algo, desinstálalo y pasa un análisis con la herramienta de seguridad de tu móvil.
4. Si diste permisos extraños, revísalos y retíralos. Luego reinicia el dispositivo.
5. Guarda capturas y detalles por si necesitas reclamar o denunciar.

En el equipo editorial de Pizquita hemos visto que lo que más calma la situación es una lista clara y un orden. Primero aseguras la cuenta más sensible (banco o correo). Después revisas permisos e instalaciones. Y, por último, dejas la limpieza para cuando ya no hay urgencia.

Errores comunes que convierten un QR en un problema

La mayoría de estafas con QR malicioso repiten patrones. Por eso es útil saber qué errores se repiten, para evitarlos de forma consciente. Además, cuando conoces el guion, te resulta más fácil parar aunque estés con prisa.

• Escanear sin previsualizar: es el paso cero del quishing. Si no lees la URL, juegas a ciegas.
• Confiar porque “estaba en un sitio oficial”: un QR malicioso puede ser una pegatina encima del bueno.
• Instalar apps desde el QR: si te llevan a una “actualización”, suele ser mala señal.
• Pagar fuera de canales conocidos: si no estás dentro de una app oficial o web verificada, mejor no.
• Usar la misma contraseña en todo: si cae una cuenta, caen varias. Por eso conviene separar.

Y, si estás montando hábitos de seguridad en casa, también te puede interesar cómo mejorar el control sin depender de cuotas en dispositivos conectados. Por ejemplo, aquí tienes una entrada relacionada: montar una cámara doméstica sin suscripción con grabación local. No es lo mismo que un QR malicioso, pero el enfoque es parecido: control y verificación antes que “todo por defecto”.

Dudas frecuentes sobre quishing y códigos QR

¿Un QR malicioso puede infectar el móvil solo con escanear?

Escanear, por sí solo, suele mostrarte un enlace o una acción. El problema llega cuando abres el enlace, instalas algo o das permisos. Por eso, el hábito útil es siempre el mismo: previsualiza la URL, verifica y decide.

¿Es seguro pagar con QR en un parking o en un restaurante?

Puede serlo, pero no por defecto. Antes de pagar, comprueba el dominio y, si puedes, usa la app oficial del servicio o un canal que ya conozcas. En sitios donde cualquiera puede poner una pegatina, el QR malicioso es más probable.

¿Qué hago si el enlace está acortado?

Lo más prudente es no seguir. Si necesitas comprobarlo por un motivo legítimo, analiza la URL antes con un servicio de reputación como VirusTotal y revisa el dominio final. Si el destino no encaja, cancela.

¿Por qué un QR malicioso sigue funcionando si el cartel parece antiguo?

Porque el QR apunta a una dirección, y esa dirección puede cambiar de “dueño” con el tiempo. Si el dominio caduca y alguien lo registra, el QR original puede convertirse en un QR malicioso sin que el cartel cambie. Por eso importa tanto comprobar el dominio, incluso en QR “de siempre”.

¿Cómo reduzco el riesgo si tengo que escanear cada día?

Hazlo siempre con previsualización, evita instalar apps desde QR y usa contraseñas únicas o passkeys. Además, cuando el QR sea importante (pagos, acceso a cuenta), verifica por un canal alternativo. Ese doble check frena muchos intentos.

Fuentes y lecturas recomendadas

Para este contenido nos apoyamos en buenas prácticas de verificación de enlaces y en recursos de organismos y proyectos reconocidos de ciberseguridad. La idea es simple: previsualizar la URL, comprobar el dominio y evitar instalaciones o pagos desde enlaces que no puedas verificar. INCIBE y OSI recomiendan verificar enlaces y desconfiar de urgencias.

• INCIBE (Ciudadanía): Consejos y recursos para usuarios (INCIBE)
• OSI (Oficina de Seguridad del Internauta): Guías y alertas de seguridad (OSI)
• VirusTotal (análisis de enlaces): Analizar una URL o archivo (VirusTotal)