A finales de 2024, la Policía Nacional y el INCIBE emitieron una alerta: aparecieron pegatinas con QR falsos sobre parquímetros de la zona SER de Madrid y Barcelona, que redirigían a páginas de pago clonadas. El phishing por QR (“quishing”) es una de las estafas digitales que más rápido creció entre 2024 y 2026, con un aumento notable en las denuncias registradas por el Grupo de Delitos Telemáticos.
Los atacantes los adoran: los filtros de correo no los ven (son imágenes), los códigos reales y falsos son visualmente idénticos, y llevamos años escaneándolos por reflejo. Los códigos QR se diseñaron para simplificar la vida, y los estafadores convierten esa simplicidad en trampa. Los dos escenarios siguientes los has vivido casi seguro.
Primer escenario: la falsa carta del restaurante
Entras en un bar o restaurante y en la mesa hay un cartelito: “Escanea para ver la carta”. Lo haces sin pensar, pero ese escaneo puede haber enviado tu dinero al estafador. Los atacantes eligen locales con mucho público y ticket medio (una cuenta de 20-50 €): el importe por víctima es pequeño, y pocos lo reclaman.
Las 5 diferencias entre un código real y uno falso:
| Detalle | Código real | Código falso |
|---|---|---|
| Impresión | Bordes nítidos, plastificado | Borroso, con dientes de sierra, pegatinas superpuestas |
| Ubicación | Esquina de la mesa, barra | Centro de la mesa, reposabrazos, pared lateral |
| Cantidad | Un código por mesa | Varios códigos apilados (el real debajo) |
| Beneficiario | ”Restaurante X S.L.” o la marca real | ”Cuenta personal”, apodos raros, nombre + números |
| Enlace | Enlace corto de marca (p. ej. e.glovo.com) | Dominio falso (bizum-pago-xyz.top), con guiones |
Verificación de 30 segundos en 3 pasos antes de escanear:
- Mira la impresión — ¿recién pegado, con marcas de adhesivo o burbujas? Un código real va plastificado; el falso, en un papel pegado con celo.
- Mira la posición — ¿justo en el centro, tapando otro código? A los falsos les encanta el lugar más visible.
- Mira el beneficiario — ¿el nombre tiene sentido? Busca en Google el nombre completo del local.
Si algo no encaja, llama al camarero. Un local serio no tendrá problema; si te dice “tranquilo, escanea”, esa es la señal de alarma.
Segundo escenario: falsos puntos de carga y parquímetros
Si la falsa carta del bar es la primera trampa, los puntos de carga de móviles y los parquímetros con QR son la segunda: te pillan en los momentos de mayor vulnerabilidad (batería baja, prisa, mirando al suelo).
3 fraudes en puntos de carga de móviles (centros comerciales, aeropuertos):
- Depósito inflado — te llevan a una página clonada; el depósito sube de 1 € a 5 € o más, cobrado antes de que te des cuenta.
- Página de phishing — pide la contraseña del banco o un código SMS para “activar” el servicio. Te quedas sin carga y sin cuenta.
- Abuso del permiso Bluetooth — si aceptas el emparejamiento, el atacante lanza pop-ups, lee el portapapeles y, en versiones antiguas de Android, puede llevar a cabo más ataques en segundo plano.
2 fraudes en parquímetros con QR:
- Pegatina sobre el código oficial — el legítimo está en una placa pequeña; el falso va grande, centrado y con marco vistoso.
- Página de “pago de multa pendiente” — imita a la DGT, pide matrícula, tarjeta y código SMS, y avisa “Su vehículo ha sido añadido al registro de morosos”.
La regla: un código de carga o parquímetro solo se escanea en dos casos:
- Está integrado físicamente en el dispositivo (carcasa o pantalla).
- Lo abres desde dentro de la app oficial (botón “Escanear para cargar” en la app del operador).
Pegatinas, folletos, caballetes sueltos: no se escanean. Los 30 segundos abriendo la app oficial son más baratos que las 3 horas reclamando el cargo después.
El método universal: 3 miradas, 3 noes
De los dos escenarios sale un guion fácil de recordar. Pásalo en 30 segundos y filtrarás el 90% de las trampas.
Las 3 miradas:
- Mira el origen — ¿quién lo puso? ¿Verificable por teléfono, web o app?
- Mira la impresión — ¿borroso, recién pegado, con marcas de adhesivo, en sitio raro?
- Mira a dónde redirige — ¿enlace corto de marca o URL sospechosa? ¿El dominio es el del servicio? ¿Lleva parámetros raros (
?redirect=...)?
Los 3 noes:
- No escribas contraseñas en páginas que no conoces — “activar”, “verificar” o “pago pendiente” que pida contraseña es estafa. Ningún servicio serio te pide “revalidar” la contraseña del banco o de Bizum en una página cualquiera.
- No instales apps de origen dudoso — si dice “descarga la app para ver”, es trampa en el 99% de los casos. Busca antes el desarrollador en la tienda de apps.
- No concedas el permiso de Accesibilidad — en Android es de los permisos más peligrosos: el atacante puede leer la pantalla, simular toques y actuar como si fueras tú.
Tabla de referencia rápida (hazle captura de pantalla):
| Si ves… | Haz esto… |
|---|---|
| Un QR borroso, recién pegado o en sitio raro | No lo escanees. Pregunta a un empleado. |
| El nombre del beneficiario no encaja | No pagues. Verifica el nombre completo. |
Redirección a un dominio raro (.top, .xyz, cadena larga) | Cierra. No introduzcas nada. |
| ”Introduce contraseña / instala app / concede permiso” | Cierra. Reporta el enlace. |
| Un pop-up pidiendo un código SMS | 100% estafa. Nunca lo leas en voz alta. |
| ”Su cuenta está bloqueada, contacte con XX” | Captura y cierra. |
La última fila se repite mucho: quien te pida leer el código de 6 dígitos del SMS es un estafador. Ese código es la llave digital de tus cuentas; dárselo a otro es dejar las llaves de casa en el buzón.
Herramienta: usa Piick para decodificar QR sospechosos
Si un QR viene de un desconocido, no lo abras con la cámara del móvil: la mayoría de apps abren el navegador al leer una URL, y para cuando te das cuenta ya estás en la página de phishing.
Usa el Escáner de Códigos QR de Piick en el navegador. Sube una imagen o haz una foto; el proceso es completamente local (la imagen no sale de tu dispositivo), sin aperturas, redirecciones ni descargas. Ves la URL, el texto o las credenciales WiFi antes de decidir.
El proceso es de solo lectura: no ejecuta instrucciones embebidas.
¿Ya lo escaneaste? Plan de rescate en 4 pasos
Si ya escaneaste el código y además introdujiste algún dato, no entres en pánico: la primera hora es la ventana de oro. Cuanto antes cortes la red y cambies contraseñas, menor será el daño.
- Corta la red — apaga WiFi y datos móviles. Si el atacante ya tiene un canal de control (como Accesibilidad), cerrar la app no basta.
- Cambia contraseñas — banco, Bizum, MercadoPago y apps de pago primero. Luego correo, redes y cuentas que compartieran contraseña. Usa un gestor y no la reutilices.
- Revisa extractos — abre la app del banco, Bizum y MercadoPago y mira los movimientos de las últimas 24 horas. Congela cargos sospechosos.
- Denuncia — llama al 091 (Policía Nacional) o, en emergencia, al 112. Para ciberseguridad, llama al 017 (línea del INCIBE). También puedes presentar denuncia online ante el Grupo de Delitos Telemáticos.
Última reflexión
Los códigos QR han llegado para quedarse, y los estafadores también. Recuerda: pausa un segundo, mira una vez, pregunta una vez. Pausar es concederte los “30 segundos antes de escanear”; mirar es fijarte en si el QR tiene señales raras; preguntar es confirmar con el comercio.
Envía esto a los mayores de tu familia — son el colectivo de mayor riesgo frente al quishing. Un joven sabe cortar la red y cambiar contraseñas; un mayor piensa “no se lo digamos a los hijos” y no reacciona hasta la segunda transferencia. Compartir este post en el grupo familiar puede ser la mejor inversión de tiempo del año.