¿Un código QR puede infectar el móvil por sí solo?

Escanear un código solo abre una dirección. El riesgo aparece después: en lo que hagas en esa web o en lo que instales desde ella.

¿Cómo veo la dirección antes de abrirla?

La cámara del móvil muestra una vista previa con la dirección antes de abrir el navegador. Conviene leerla entera, especialmente la parte del dominio, y no solo el principio.

¿Son seguros los QR de los restaurantes?

La mayoría lo son, pero conviene fijarse en si el código es una pegatina superpuesta. Ante la duda, pedir la carta o preguntar al personal cuesta menos que resolver un cargo no autorizado.

¿Y los QR que llegan por carta?

Trátalos como cualquier enlace no solicitado. Los trámites con la Administración pueden hacerse entrando tú en la sede electrónica correspondiente, sin usar el código impreso.

Códigos QR fraudulentos (quishing)

Un código QR es solo una dirección escrita de forma que no puedes leerla. Esa es toda su ventaja para quien quiere engañarte: no ves a dónde vas hasta que ya estás.

La comprobación práctica es sencilla: casi todos los móviles muestran la dirección antes de abrirla. Leerla con calma, y comprobar que el dominio es el que esperas, resuelve la mayoría de los casos.

Analizar un mensaje sospechoso

Cómo funciona

En la vía pública, la técnica habitual es superponer una pegatina con otro código sobre uno legítimo: parquímetros, carteles de restaurantes, puntos de recarga o menús. El soporte es real, el código no.

Por correo postal llegan cartas con apariencia oficial que incluyen un QR para pagar una tasa o consultar un expediente. El papel da una credibilidad que una pantalla no da.

El destino es una web que copia una pasarela de pago o un formulario de identificación. Como el usuario ha llegado escaneando, no ha escrito la dirección y no tiene un punto de referencia para compararla.

También aparecen QR en correos de phishing, precisamente porque un código no se puede analizar como un enlace de texto.

Señales habituales

El código está en una pegatina superpuesta o con los bordes despegados.
La dirección que aparece al escanear no corresponde al servicio esperado.
El dominio es un acortador o una extensión poco habitual.
Pide datos de tarjeta o credenciales inmediatamente después de escanear.
Llega en una carta o un correo que exige pagar con urgencia.
La web pide instalar una aplicación desde fuera de la tienda oficial.

Ejemplo ficticio

Ejemplo ficticio, creado para ilustrar el patrón. No corresponde a ninguna comunicación real ni contiene datos de ninguna persona.

Ayuntamiento — Aviso de sanción pendiente. Escanee el código para consultar el expediente y abonar con descuento del 50 % antes de 15 días.

El descuento por pronto pago existe en sanciones reales, y por eso funciona como gancho. Lo que no encaja es resolver el pago desde un código impreso en lugar de la sede electrónica que puedes abrir tú.

Qué hacer si lo recibes

Lee la dirección completa que muestra el móvil antes de abrirla y comprueba el dominio.
Si el QR está en la calle, revisa si es una pegatina pegada encima de otra cosa.
Para pagos y trámites oficiales, entra tú en la sede electrónica correspondiente en lugar de escanear.
Desconfía de un QR que exige instalar una aplicación para continuar.
En un restaurante o comercio, pregunta al personal si el código es suyo.

Qué hacer si ya has interactuado

Has escaneado y solo has visto la página

Cierra el navegador sin introducir nada.
Comprueba que no se haya descargado ningún archivo.
El riesgo es bajo si no has escrito datos ni instalado nada.

Has introducido los datos de tu tarjeta

Bloquea la tarjeta desde la aplicación del banco y pide una nueva.
Revisa los movimientos recientes y comunica los que no reconozcas.
Desconfía de llamadas posteriores que digan ser del banco para resolverlo.

Has instalado una aplicación desde ese enlace

Desinstálala y revisa los permisos concedidos, sobre todo accesibilidad y SMS.
Cambia las contraseñas de banca y correo desde otro dispositivo.
Si el móvil se comporta de forma extraña, valora restaurarlo tras una copia de seguridad.

Esta información es orientativa y de carácter general; no sustituye al asesoramiento de tu entidad ni a la valoración de un profesional sobre tu caso. Tienes más pasos por situación en la guía de qué hacer si te han estafado.

¿Has recibido un mensaje parecido?

Pega el texto en el analizador y comprueba qué señales contiene. El análisis se ejecuta en tu navegador y es orientativo: señala patrones frecuentes, no determina si un mensaje concreto es fraudulento.