Los códigos QR, nueva puerta para las estafas online: cómo detectarlas y qué hacer

El uso de códigos QR para consultar cartas de restaurantes, horarios de autobuses o contenidos de medios se ha generalizado, y los ciberdelincuentes han aprovechado esa costumbre para lanzar el llamado quishing, una variante del phishing que lleva a las víctimas a páginas fraudulentas para robar datos personales, credenciales o información bancaria. Según Microsoft, detectó 18,7 millones de ataques de este tipo en marzo de 2026, frente a los 7,6 millones de enero, lo que supone un incremento del 146% en apenas tres meses.

La extensión de esta tecnología amplía el terreno para el fraude. Según QR Tiger, el 75% de los restaurantes del mundo ya utiliza códigos QR para dar acceso a sus menús. El Instituto Nacional de Ciberseguridad (INCIBE) alertó el pasado 4 de agosto de un caso en España en el que una usuaria escaneó un código para consultar la carta de un restaurante y, tras aceptar una ventana emergente, se activó una suscripción premium que no había solicitado. El organismo constató que otros clientes del mismo establecimiento habían sufrido casos similares.

Fernando Suárez, presidente del Colexio Profesional de Enxeñaría en Informática de Galicia (CPEIG) y del Consejo General de Ingeniería Informática de España, explica que «creemos que vamos a consultar información o acceder a un servicio, pero acabamos en una web preparada para robarnos contraseñas, datos bancarios o convencernos de instalar una aplicación maliciosa». Según el experto, la familiaridad con el QR hace que se escanee sin pensar, y basta con una pegatina sobre un código legítimo para engañar. Suárez recuerda que en A Pobra aparecieron carteles en farolas que invitaban a escanear un QR para ver imágenes de una supuesta infidelidad, un gancho basado en la curiosidad.

Suárez señala que, a diferencia de un enlace convencional, con el QR el usuario no puede ver a simple vista la dirección oculta, por lo que recomienda comprobar dónde está colocado el código, si hay una pegatina superpuesta y qué dirección muestra el móvil antes de abrirla. Advierte además de que un candado o un «https» no garantizan que una web sea legítima. Para evitar caer en la estafa, aconseja detenerse unos segundos, desconfiar de premios y urgencias, utilizar la aplicación o web oficial para pagar o introducir datos sensibles, mantener el móvil actualizado y activar la verificación en dos pasos. Los establecimientos, según el experto, deben revisar que nadie haya sustituido los códigos que ofrecen a sus clientes.

Si se han facilitado datos bancarios, Suárez recomienda avisar de inmediato al banco; si se ha entregado una contraseña, cambiarla desde un dispositivo de confianza, también en las cuentas donde se reutilice, y cerrar las sesiones abiertas. Aconseja conservar las pruebas, denunciar el fraude y estar atentos a nuevas llamadas o mensajes, ya que los estafadores pueden usar la información previa para volver a engañar.

Por último, el experto aclara que escanear un código QR no supone por sí mismo una infección, siempre que no se haya abierto el enlace. Si se ha visitado la web, conviene cerrarla y comprobar si se han descargado contenidos o concedido permisos. Si se ha instalado una aplicación sospechosa, lo recomendable es desconectar el móvil de Internet, buscar ayuda para eliminarla y revisar el dispositivo, aunque el restablecimiento de fábrica solo sería necesario en algunos casos.

Información elaborada a partir de Faro de Vigo.