¿Vas a escanear un código QR? Mira primero adónde te lleva

Lo cómodo de un código QR es que no hay que teclear nada. Esa es también su debilidad: no ves adónde lleva hasta que el móvil lo ha leído, y entonces basta un toque para abrirlo. En Alicante ya se han encontrado pegatinas falsas en los parquímetros. Esta guía breve explica qué mirar en esos pocos segundos.

Un código QR esconde su destino

Para ti, un código QR es un dibujo de cuadraditos blancos y negros. Para tu móvil es texto, casi siempre una dirección web. Cualquiera con una impresora puede crear uno que lleve a donde quiera, y nada en el dibujo te dice si lo ha puesto de verdad el negocio cuyo logo aparece al lado. El phishing con códigos QR incluso tiene nombre propio: quishing.

Y no se limita a las pegatinas en la calle. Microsoft contó 7,6 millones de ataques de phishing con códigos QR por correo en enero de 2026 y 18,7 millones en marzo, escondidos sobre todo en adjuntos PDF (el 70 % en marzo) o Word DOC/DOCX (el 24 %) (Microsoft, 30 de abril de 2026). Al trimestre siguiente el volumen mensual volvió a bajar, hasta 8,3 millones en junio (Microsoft, 23 de julio de 2026). Las cifras suben y bajan; el truco sigue siendo el mismo.

Mira la dirección antes de abrirla

Muchas apps de cámara y lectores de QR muestran la dirección web antes de abrirla. Para ahí y léela. Si tu lector tiene una opción que abre los enlaces automáticamente al escanear, desactívala, como recomienda el INCIBE en un caso real publicado el 4 de agosto de 2026 (INCIBE, 4 de agosto de 2026). Una página que se abre sola no te deja ni un momento para comprobar nada.

Después hazte una sola pregunta: ¿es esta la dirección que esperaba? El consejo del INCIBE es claro: "Verificar que la dirección web mostrada coincide con el dominio oficial del establecimiento o del servicio esperado". El pago de un aparcamiento debería llevarte a la web del ayuntamiento o de la empresa que gestiona la zona azul; una carta, a la web del propio restaurante o a un servicio que este use de forma visible.

La dirección descifrada es la primera parada, no necesariamente la última: una dirección de aspecto normal puede llevarte a otro sitio, y mirar la dirección no te dice dónde termina esa cadena ni qué contiene la página. Para cualquier cosa delicada, abre mejor la app oficial o un marcador de confianza, y no abras un enlace sospechoso solo para investigarlo.

Lee el dominio, no solo el principio

Las direcciones de phishing están hechas para pasar un vistazo rápido. A menudo empiezan con el nombre que esperas y esconden el destino real más adelante. Algunos patrones habituales, con direcciones inventadas para un municipio llamado Villapuerto (.example está reservado para ejemplos):

• El nombre correcto en el sitio equivocado: en villapuerto.example.portal-pagos.example/aparcar el dominio es portal-pagos.example. El nombre conocido del principio es puro decorado.
• Palabras de más: villapuerto-aparcamiento-pago.example suena oficial, pero es un dominio distinto de villapuerto.example, registrado por quien haya querido.
• Letras que se parecen: vi1lapuerto.example con un uno en lugar de una ele, o rn haciéndose pasar por m.
• Enlaces acortados: un dominio corto seguido de un código aleatorio no dice nada del destino. Solo sabrás adónde lleva después de abrirlo.

Para encontrar el dominio, sáltate https:// y lee hasta el primer /, ? o #, o hasta el final de la dirección si no aparece ninguno. Esa parte contiene el host; un número de puerto al final, como :8443, y lo que va antes de una @ no forman parte de él. Lee el host de derecha a izquierda. En aparcar.villapuerto.example/pagar el dominio que cuenta es villapuerto.example, y el aparcar. de delante lo ha elegido el dueño de ese dominio. Lo que va después del host puede ser cualquier cosa, incluso un nombre de confianza: en https://portal-pagos.example?next=villapuerto.example/pagar el host es portal-pagos.example, porque el ? va antes. Si esa parte contiene una @ o no puedes saber con certeza qué parte es el dominio, desconfía del código y entra tú mismo en la web o la app oficial.

Para saber más sobre cómo leer un nombre de host, también con letras de otros alfabetos, lee Otro dominio detrás de un enlace: ¿señal de alarma o algo inofensivo?

Pegatinas, multas y peticiones de pago

El truco más directo no necesita correo: una pegatina con un código falso encima del auténtico. En marzo de 2025 el Ayuntamiento de Alicante avisó de que se habían detectado pegatinas con códigos QR falsos en los parquímetros de la ORA, que llevaban a páginas fraudulentas para robar datos bancarios, y aconsejó asegurarse de que el código no sea una pegatina que tapa el QR original (El Español, 10 de marzo de 2025).

Las multas también sirven de cebo. Según informó Aragón Digital el 14 de enero de 2026, la Policía Local de Zaragoza lanzó una advertencia preventiva sobre multas de aparcamiento falsas con un código QR dejadas en el parabrisas: las sanciones nunca se notifican con un código QR ni con un papel en el parabrisas. En ese momento no se habían detectado casos en Zaragoza (Aragón Digital, 14 de enero de 2026).

Fuera de España pasa lo mismo. En Nueva York, la Fiscalía de Distrito de Manhattan y el Departamento de Investigación de la ciudad (DOI) anunciaron el 30 de septiembre de 2026 que se habían retirado 64 códigos QR falsos de parquímetros de Manhattan. Según el comunicado, el código que escaneó una víctima decía "Web Pay. Scan to Pay", estaba pegado encima de la pegatina oficial de PARKNYC y llevaba a una web con el logo oficial de PARKNYC que pedía los datos de la tarjeta. Se ha acusado formalmente a un hombre; los cargos son acusaciones, no hechos probados. El fiscal recordó a los neoyorquinos que "the city does not ask you to scan a QR code when parking", es decir, que la ciudad no pide escanear un código QR para aparcar (Fiscalía de Manhattan y NYC DOI, 30 de septiembre de 2026). Eso es lo que hace Nueva York; en otros sitios pagar con un código QR puede ser legítimo. Así que comprueba en la web o la app oficial de tu ayuntamiento o de la empresa que gestiona el aparcamiento cómo se paga allí, y desconfía de cualquier código QR que no puedas verificar, sobre todo si es una pegatina encima de otro código.

Hasta la carta de un restaurante puede ser la trampa. En el caso real del INCIBE, el código QR del restaurante era la única forma de ver el menú. Según el relato de esa persona, justo después de aceptar lo que parecía una ventana de cookies se le activó una suscripción premium que no había pedido, y otros comensales se habían visto afectados de la misma forma. El INCIBE no explica cómo se contrató la suscripción. Si una carta te pide permisos inesperados, una cuenta o datos de pago, para y pregunta en el restaurante.

Así que, antes de escanear un código en un lugar público, ya sea en un parquímetro, un punto de carga, una carta o un cartel, mira el propio código. ¿Es una pegatina encima de otra cosa? ¿Parece fuera de lugar? Desconfía de cualquier multa o petición de pago que llegue en forma de QR y compruébala por el canal oficial.

No inicies sesión ni pagues a través de un QR que no puedas verificar

Mi regla es sencilla: no inicies sesión ni pagues a través de un enlace QR que no puedas verificar. Has llegado por una dirección que no podías leer de antemano. Si un código te pide iniciar sesión o pagar, cierra la página y ve tú a la web o app oficial: la app de aparcamiento que ya usas, la app de tu banco, la dirección que conoces. Si tienes dudas, escribe tú la dirección oficial en vez de fiarte del código.

Una app que muestra qué hay dentro de un QR

Que conste: esta app la he desarrollado yo. QR Quishing Detector, de Magentron, escanea códigos QR y códigos similares y muestra su contenido, con los caracteres ocultos o engañosos a la vista, antes de abrir nada. Para las direcciones web da una valoración de riesgo LOW, MEDIUM o HIGH y explica cada punto. Las comprobaciones de riesgo se ejecutan sin conexión en tu móvil, y la app nunca visita la dirección escaneada. Yo no recojo nada: ni cuenta, ni analítica, ni seguimiento. Una consulta opcional de la antigüedad del dominio, desactivada por defecto, envía solo el dominio, no la dirección completa, al registro de ese dominio; ese operador ve tu dirección IP y la hora de la consulta, como explica la política de privacidad. La antigüedad que devuelve no cambia la puntuación de riesgo.

Una valoración es un motivo para mirar dos veces, no un veredicto: una puntuación baja no significa que un enlace sea seguro, y una alta no demuestra que sea phishing. Parte de su lógica heurística, de sus comprobaciones y de sus pesos se basa en el trabajo de Nieves Casquero (qr_forense.py, licencia MIT).

Un código QR con una dirección web es un enlace sin texto de enlace, así que el hábito es el mismo que en el correo: mira adónde lleva un enlace antes de abrirlo. Para los enlaces del correo y de la web, lee Reveal URLs: detecta enlaces de phishing antes de hacer clic, y para saber por qué las apps de correo deberían mostrar la dirección por defecto, Phishing de enlaces en el correo: por qué tu aplicación debería mostrar siempre la URL.