QR en carteles de venta: el vector que nadie audita

Un cartel de venta con QR es un punto de entrada sin dueño: cualquiera puede pegar un adhesivo encima y desviar al comprador a una web clonada que pide la señal en otra cuenta. La defensa es auditar el parque de QR de la marca: inventario, destino verificado y revisión periódica. En el sector inmobiliario el problema no es teórico ni menor, porque el importe medio de la primera transferencia que se pide a un comprador es de otro orden que el de casi cualquier otro fraude de consumo.

¿Cuál es exactamente el riesgo en un cartel de venta?

El QR de un cartel cumple una función comercial legítima: llevar al interesado a la ficha del inmueble sin que tenga que teclear nada. Esa comodidad es el ataque.

El código está en la vía pública, sin vigilancia, en un soporte de papel, vinilo o chapa, durante semanas o meses. Intervenirlo cuesta el precio de un adhesivo impreso. Y el usuario que lo escanea no tiene forma de saber que el destino ha cambiado, porque un código QR no es legible a simple vista: dos códigos con destinos opuestos son visualmente idénticos. Las señales que sí puede detectar una persona las detallamos en señales de un QR manipulado.

El FBI documentó este patrón concreto en su alerta sobre manipulación de códigos QR, donde la recomendación central para códigos físicos es comprobar que no haya una pegatina colocada sobre el original. El INCIBE publica además una guía dirigida a empresas sobre cómo proteger los códigos QR que sitúa la responsabilidad donde corresponde: en quien despliega el código, no en quien lo escanea.

¿Dónde está realmente el parque de QR de una inmobiliaria?

La primera sorpresa de cualquier auditoría es el tamaño del inventario. Los códigos no están solo en los carteles.

Soporte	Quién lo genera normalmente	Exposición
Cartel de calle o balcón	Imprenta o delegación	Alta: vía pública, meses
Valla de obra o promoción	Agencia de publicidad externa	Muy alta: puntos fijos y visibles
Folleto y dossier de venta	Marketing	Media: circula en mano
Escaparate de oficina	Delegación	Alta: acceso desde la calle
Cartel de visita u open house	Comercial asignado	Alta y efímera: nadie la registra
Tótem o placa en promoción	Promotora	Alta: soporte permanente
Firma de correo electrónico	Cada empleado	Media: se replica sin control
Documentación contractual	Administración	Baja pero crítica: acompaña al pago
Portales y anuncios de terceros	Fuera de tu control	Media: no lo generas tú

Este inventario es el que casi nunca existe. Y sin inventario no hay revisión posible: no se puede comprobar lo que no se ha enumerado.

¿Por qué el sector inmobiliario es objetivo preferente?

Cinco razones que se acumulan:

1. El importe. Una reserva, una señal o unas arras mueven cantidades que justifican la preparación del ataque.
2. La relación es nueva. El comprador no conoce a la agencia. No tiene un canal previo con el que contrastar.
3. La urgencia es parte del proceso. «Hay otra oferta» es una frase real del sector, y también la palanca perfecta para un fraude.
4. El pago inicial es por transferencia. No hay retrocesión sencilla como en una tarjeta.
5. La operación es distribuida. Intervienen agencia, promotora, administración de fincas, notaría y banco. Nadie tiene visión completa, y el atacante se coloca en las costuras.

A esto se suma un vector más silencioso: el correo de comunicación de datos bancarios. El QR falso resuelve el primer contacto y el fraude de cambio de cuenta remata la operación. El tratamiento integral de este riesgo está descrito en inmobiliario y patrimonial.

¿Cómo se ejecuta el fraude paso a paso?

1. Selección. El atacante localiza carteles de una marca reconocible en zonas de alta rotación.
2. Clonado. Copia la web de la agencia. Es cuestión de minutos y no requiere habilidad especial.
3. Registro de dominio parecido. Guion añadido, extensión distinta, palabra insertada.
4. Generación del QR apuntando al dominio clonado, con el logotipo de la agencia en el centro para que parezca oficial.
5. Colocación. Adhesivo sobre el código original, normalmente fuera del horario comercial.
6. Captura. El interesado escanea, rellena un formulario y entrega teléfono y correo. En esta fase el atacante ya tiene un contacto cualificado y con intención de compra.
7. Contacto. Le llaman o le escriben desde el dominio clonado, con lenguaje del sector y datos reales del inmueble tomados del anuncio público.
8. Solicitud de pago. Reserva para «bloquear» el inmueble, con cuenta a nombre de una sociedad de aspecto plausible.

El paso 6 explica por qué el daño no se limita al pago. Aunque nadie transfiera dinero, la agencia ha perdido los contactos y ha entregado datos personales de interesados a un tercero, con las consecuencias que eso tiene en materia de protección de datos. Esa dimensión pertenece a compliance.

¿En qué consiste una auditoría del parque de QR?

Definición: es la revisión sistemática de todos los códigos QR que una marca tiene desplegados, con verificación del destino real de cada uno y establecimiento de un control periódico que detecte sustituciones.

Fase	Contenido	Entregable
1. Inventario	Enumeración de todos los soportes con QR, por delegación y por campaña	Registro único con responsable por soporte
2. Verificación de destino	Decodificación y resolución de redirecciones de cada código en circulación	Lista de destinos reales frente a destinos previstos
3. Consolidación de dominios	Todos los QR apuntan a dominios propios; se retiran acortadores de terceros	Política de enlaces publicada
4. Vigilancia de dominios parecidos	Detección de registros similares al de la marca	Alerta temprana de clonado
5. Inspección física	Protocolo de revisión visual y fotográfica de carteles en calle	Calendario de rondas con evidencia fechada
6. Sellado de la evidencia	Fotografía de cada cartel con huella e integridad comprobable	Prueba de qué había desplegado y cuándo
7. Respuesta	Procedimiento de retirada, aviso y denuncia ante un hallazgo	Protocolo escrito con responsables

La fase 6 es la que distingue una auditoría de una inspección. Fotografiar un cartel no prueba nada si la fotografía puede fecharse a conveniencia. Sellarla con huella criptográfica y fecha demostrable, mediante nuestro producto Veritas UGC, convierte esa ronda de revisión en un registro que sostiene una posición ante un cliente, ante una aseguradora o ante un juzgado.

La fase 4 se apoya en el mismo trabajo de vigilancia que aplicamos en protección, y la actuación sobre un dominio que suplanta la marca la ejecuta Veritas Nexus Legal LLC.

¿Qué controles hay que implantar de inmediato?

Control	Responsable	Frecuencia
Imprimir la URL en texto junto a todo QR	Marketing	En cada diseño
Usar solo dominios propios en los QR	Marketing y sistemas	Permanente
Registrar cada cartel desplegado con su ubicación	Delegación	Al colocar
Ronda fotográfica de carteles	Comercial de zona	Semanal o quincenal
Comprobar el destino real de los QR en circulación	Sistemas	Mensual
Retirar carteles de operaciones cerradas	Delegación	Al cerrar
Frase fija sobre pagos en toda la comunicación	Dirección	Permanente
Vigilancia de dominios parecidos	Proveedor de seguridad	Continua

La retirada de carteles caducados aparece poco en las listas de seguridad y es de las medidas más eficaces: un cartel de una operación ya cerrada no lo revisa nadie, no lo reclama nadie y puede permanecer meses en la calle. Es el soporte ideal para el atacante.

¿Qué se le dice al comprador?

Una sola regla, repetida en todos los canales y sin excepciones:

Nuestra agencia nunca comunica datos bancarios por QR, ni cambia una cuenta por correo. Antes de transferir, llame al número de nuestra web y confirme.

Y tres apoyos:

• Número de teléfono impreso en el cartel, no solo el QR.
• Aviso visible en la ficha del inmueble sobre cómo se solicita una reserva y cómo no.
• Doble confirmación por canal independiente para cualquier cuenta bancaria: si el dato llegó por correo, se confirma por teléfono con un número que el cliente ya tenía.

Esa frase no es solo protección del comprador. Es también la prueba de diligencia de la agencia el día que ocurra un incidente.

¿Qué no resuelve una auditoría de QR?

Conviene decirlo sin adornos, porque en seguridad las promesas absolutas son señal de mal proveedor.

• No impide que alguien pegue un adhesivo. Reduce el tiempo que ese adhesivo permanece sin detectarse y deja constancia de que existía un control.
• No cubre los soportes que no controlas: anuncios en portales de terceros, capturas que circulan por mensajería, carteles de colaboradores.
• No sustituye la formación comercial. El eslabón que decide es la persona que atiende al comprador.
• No es seguridad absoluta. Ningún control lo es. Lo que hace es pasar de un riesgo invisible y sin dueño a un riesgo inventariado, medido y con responsable asignado.

Nuestro estado real de marcos y controles, sin etiquetas que insinúen certificaciones inexistentes, está publicado en /trust.

Qué hacer ahora

1. Cuenta tus QR. Hoy, con una hoja de cálculo. Delegación, soporte, campaña y destino previsto. Si nadie puede completarla, ya tienes el primer hallazgo.
2. Comprueba diez códigos al azar de carteles reales en calle y verifica a dónde llevan de verdad.
3. Añade la URL en texto a todas las plantillas de cartel y folleto en la próxima tirada.
4. Retira los carteles de operaciones cerradas que sigan colocados.
5. Publica la regla de pagos en tu web, en tus fichas y en la firma de correo de todo el equipo.
6. Establece la ronda fotográfica con periodicidad fija y guarda la evidencia con fecha demostrable.

Si quieres que hagamos el inventario y la verificación del parque de QR de tu marca, y que dejemos montado el control periódico con evidencia sellada, escríbenos desde /contacto indicando número aproximado de delegaciones y de carteles activos.