¿Es seguro escanear ese QR? Señales de quishing

Un QR es seguro cuando puedes comprobar su destino antes de abrirlo y ese destino coincide con el dominio que esperas. A ojo no se puede leer un QR, así que la única defensa es inspeccionar el soporte físico en busca de pegatinas superpuestas y previsualizar la URL completa antes de tocarla. Todo lo demás —el logotipo en el centro, el aspecto profesional, el hecho de estar pegado en un sitio con apariencia oficial— no aporta ninguna garantía.

¿Qué es el quishing?

El quishing es phishing con el enlace escondido dentro de un código QR. En lugar de enviarte una dirección visible en la que puedes desconfiar, se te entrega un cuadrado impreso o insertado en un correo que, al escanearse, te lleva a un sitio controlado por el atacante.

El objetivo es el de siempre: que introduzcas credenciales, que hagas un pago, que instales una aplicación o que autorices un acceso. Lo que cambia es el envoltorio, y ese cambio tiene dos efectos prácticos:

• Elude filtros. Un QR insertado en un correo es una imagen, o incluso texto generado en el propio HTML. Muchos sistemas de análisis de enlaces no lo procesan como enlace.
• Cambia de dispositivo. El QR se escanea con el móvil, que suele estar peor protegido que el ordenador corporativo y donde la barra de direcciones es corta y fácil de engañar.

El FBI publicó una alerta específica sobre manipulación de códigos QR centrada precisamente en el patrón físico: sustituir el código legítimo por otro, a menudo con una simple pegatina. El INCIBE mantiene también material divulgativo sobre cómo escanear códigos QR de manera fiable.

¿Por qué el ojo humano no puede leer un QR?

Porque no está hecho para eso. El formato está normalizado en ISO/IEC 18004 y describe una matriz de módulos cuadrados con patrones de localización en tres esquinas, información de formato, y corrección de errores.

De ahí salen tres consecuencias que explican el problema entero:

1. La información está codificada en binario y entrelazada. No hay ninguna correspondencia visual entre zonas del dibujo y partes de la dirección. No se puede «leer un trozo».
2. La corrección de errores permite reconstruir el contenido aunque falte parte del símbolo. Por eso un QR con un logotipo encima sigue funcionando: el logotipo no indica legitimidad, indica que sobraba redundancia.
3. Dos códigos con destinos completamente distintos son visualmente indistinguibles para una persona. Compararlos de memoria no sirve.

El resultado es que el usuario ejecuta un clic ciego: acepta ir a un sitio que no ha podido leer. Toda la seguridad depende de lo que ocurra en los dos segundos posteriores al escaneo.

¿Qué señales físicas delatan un QR manipulado?

Señal	Qué observar	Por qué importa
Pegatina superpuesta	Bordes levantados, sombra, doble grosor al pasar la uña	Es el método más usado en la calle
Acabado distinto	Cartel plastificado con QR en papel mate, o al revés	Delata añadido posterior
Desalineación	El QR no respeta la retícula del diseño, está torcido o descentrado	El original suele estar maquetado
Impresión de calidad inferior	Trama visible, negro apagado, píxeles	Impreso en otro dispositivo
Ausencia de URL en texto	El cartel solo trae el cuadrado	Un emisor serio imprime también la dirección
Dominio impreso que no coincide	La URL escrita no es la del emisor	Delata suplantación sin necesidad de escanear
QR en un adhesivo suelto en mobiliario urbano	Farolas, parquímetros, postes, cajeros	Superficie fácil de intervenir sin testigos
QR añadido a mano en un documento	Sellado, pegado o grapado sobre un impreso	Los documentos oficiales no se completan así

La comprobación más rentable es la primera y no requiere conocimientos: pasar el dedo por el borde. Si hay una capa encima, se nota.

¿Qué señales digitales delatan un destino falso?

Una vez escaneado, y antes de abrir nada:

• El dominio no es el que esperas. Mira el nombre inmediatamente anterior a la primera barra, no el principio de la cadena. Una dirección puede empezar con el nombre de tu banco y terminar en un dominio ajeno.
• Acortadores de enlaces. Una entidad legítima rara vez necesita ocultar su dominio en un cartel.
• Caracteres parecidos. Sustituciones de letras, guiones añadidos, extensiones cambiadas, o dominios internacionalizados que se muestran como xn-- en algunos navegadores.
• Redirecciones encadenadas. Si al abrir saltas por tres dominios antes de aterrizar, desconfía.
• Petición inmediata de credenciales. Un QR que lleva directo a una pantalla de acceso es un patrón clásico.
• Descarga de un archivo instalable. Ninguna entidad legítima distribuye su aplicación por QR fuera de las tiendas oficiales.
• Urgencia. Multa a punto de vencer, paquete retenido, cuenta bloqueada, pago fallido. La prisa es la herramienta, no un detalle.
• Solicitud de datos innecesarios. Un menú de restaurante no necesita tu documento de identidad.

¿Qué compruebo antes y después de escanear?

Momento	Comprobación	Acción si falla
Antes	¿El soporte tiene pegatina o añadido?	No escanear y avisar al responsable del sitio
Antes	¿Aparece la URL en texto junto al QR?	Teclearla en lugar de escanear
Antes	¿Tiene sentido que aquí haya un QR?	Ante la duda, buscar el sitio oficial por tu cuenta
Al escanear	¿La previsualización muestra la URL completa?	Activar la previsualización en los ajustes del móvil
Al escanear	¿El dominio coincide con el emisor esperado?	Cerrar sin abrir
Después	¿Piden credenciales, pago o instalación?	Salir y acceder por el canal habitual
Después	¿La página pide permisos del dispositivo?	Denegar
Pago	¿Se solicita transferencia a una cuenta nueva?	Verificar por teléfono con un número que ya tenías

La regla que resuelve la mayoría de los casos es sencilla: el QR sirve para llegar rápido, nunca para autenticarte ni para pagar. Si al final del recorrido hay credenciales o dinero, se sale y se entra por la aplicación o la web que ya usabas.

¿Qué ajustes del móvil ayudan?

• Previsualización de la dirección antes de abrir. La cámara de la mayoría de los sistemas actuales muestra la URL como aviso: no la ignores, léela.
• Desactivar la apertura automática de enlaces al escanear, si tu dispositivo lo permite.
• Bloquear instalación desde orígenes desconocidos, que es lo que corta la vía del archivo instalable.
• Doble factor de autenticación en las cuentas relevantes, preferiblemente con aplicación o llave física en lugar de SMS.
• Actualizaciones al día, tanto del sistema como del navegador.

Ninguna de estas medidas hace el escaneo infalible y no existe configuración que lo consiga. Lo que hacen es convertir un ataque de un solo paso en un ataque de varios pasos, cada uno de los cuales te da la oportunidad de detenerte.

¿Qué NO indica que un QR sea seguro?

Vale la pena listar los falsos indicadores, porque son los que más confianza generan:

• Que tenga un logotipo en el centro. Cualquiera puede generarlo.
• Que esté impreso en un cartel de aspecto profesional. El cartel puede ser auténtico y el QR pegado encima.
• Que esté dentro de un establecimiento. También se pegan adhesivos en mesas, escaparates y terminales.
• Que la web tenga candado. El candado cifra la conexión; no acredita identidad.
• Que el diseño de la web sea idéntico al que conoces. Clonar una interfaz es cuestión de minutos.
• Que te lo envíe alguien conocido. Su cuenta puede estar comprometida.

¿Y si ya lo escaneé?

Ordenado por urgencia:

1. Cierra la página sin introducir nada. Si no diste datos, el riesgo cae mucho.
2. Si introdujiste credenciales, cambia esa contraseña de inmediato desde la aplicación oficial y revisa las sesiones activas. Cambia también donde reutilizaras la misma clave.
3. Si hiciste un pago, contacta con tu entidad por el canal habitual y solicita el bloqueo o la retrocesión.
4. Si instalaste algo, desinstálalo, revisa permisos de accesibilidad y administrador de dispositivo, y comprueba aplicaciones desconocidas.
5. Guarda la evidencia: fotografía del cartel, dirección a la que llevaba, hora y lugar. Es lo que permite denunciar y avisar al titular del sitio suplantado.
6. Avisa al emisor legítimo. Suele desconocer que su cartel está intervenido.

¿Qué papel juega una herramienta de verificación?

Cuando el problema es que el usuario no puede leer el destino, la solución razonable es que alguien lo lea por él antes de abrirlo: decodificar el símbolo, resolver las redirecciones, mostrar el dominio final y advertir de patrones conocidos de fraude. Para eso existe QR Guardian, nuestro producto de seguridad de códigos QR, disponible en qr.veritasdigital.tech.

Somos explícitos sobre su límite: ninguna herramienta detecta el cien por cien de los destinos maliciosos, y un sitio recién creado puede no figurar en ninguna lista. Lo que aporta es tiempo de decisión y visibilidad del destino real, que es justo lo que el formato QR le quita al usuario. La lógica de fondo —que la validez se compruebe y no se presuponga— es la misma que aplicamos a las credenciales verificables.

Si el problema no es escanear sino que tu organización imprime QR en la calle, el enfoque cambia por completo: se audita el parque propio. Lo explicamos aplicado a un sector concreto en QR en carteles de venta, y el trabajo de auditoría de superficie de ataque está descrito en protección. Nuestro estado real de controles y marcos está publicado en /trust.

Qué hacer ahora

1. Activa la previsualización de enlaces en la cámara de tu móvil y desactiva la apertura automática.
2. Adopta la regla del dedo: antes de escanear cualquier QR impreso, pasa la uña por el borde para descartar una pegatina.
3. No pagues nunca desde un QR. Entra por la aplicación o la web que ya usabas.
4. Enseña las dos señales clave a las personas de tu entorno con menos hábito digital: pegatina encima y dominio que no coincide.
5. Si gestionas un local o una entidad, fotografía tus QR, revísalos periódicamente e imprime siempre la URL en texto junto al código.
6. Denuncia lo que encuentres al titular del sitio y a la autoridad de tu país.

Si tu organización tiene códigos QR en circulación —carteles, folletos, facturas, terminales— y nadie ha comprobado nunca a dónde llevan, escríbenos desde /contacto y te decimos cómo abordar el inventario.