Guía

¿Son seguros los códigos QR? Riesgos reales y cómo protegerte

La respuesta honesta tiene dos partes. El código en sí es inofensivo: no es un programa, es un dibujo que codifica texto. Pero como te lleva a sitios sin que veas el enlace de antemano, se ha convertido en una herramienta cómoda para engañar a la gente. Aquí está lo que sí puede pasar, y las tres comprobaciones que lo evitan casi todo.

Lo que un código QR no puede hacer

Conviene quitar miedos infundados antes que nada. Un código QR no ejecuta nada. No es una aplicación, no contiene código de programa y no puede acceder a tu móvil. Lo único que guarda es texto: una dirección web, unos datos de contacto, el nombre de una red wifi.

Cuando lo escaneas, tu móvil lee ese texto y te ofrece hacer algo con él: abrir un enlace, guardar un contacto, conectarse a una red. Y ahí está la clave: te lo ofrece, no lo hace solo. Ese momento en el que aparece la dirección en pantalla, antes de que toques nada, es tu barrera de seguridad.

Así que no, un código QR de un cartel no puede instalarte un virus por el hecho de mirarlo con la cámara.

Lo que sí puede pasar

Todos los riesgos reales están en el destino. Los cuatro habituales:

1. La página falsa

Es el fraude principal, y tiene nombre propio: quishing, de QR y phishing. El código te lleva a una web que imita a la de tu banco, a la de Correos, a la de la Dirección General de Tráfico o a la de un servicio conocido. Te pide usuario y contraseña, o los datos de la tarjeta para pagar «una tasa pendiente». Todo lo que escribas va directo al estafador.

Funciona bien precisamente porque el QR oculta la dirección: en un correo sospechoso puedes pasar el ratón por encima del enlace y ver a dónde va; en un cuadrado impreso, no.

2. La pegatina encima de la buena

El truco más simple y el más extendido. El estafador imprime su código en una pegatina y la pega encima del código legítimo. Los sitios donde más ocurre:

• Parquímetros y aparcamientos con pago por móvil.
• Cargadores de coche eléctrico.
• Cartas y carteles de restaurantes.
• Multas o avisos falsos puestos en el parabrisas.
• Bicicletas y patinetes de alquiler.

3. La descarga

El código lleva a una página que te ofrece «la aplicación necesaria» para continuar. La descarga y la instalación las tienes que autorizar tú, paso a paso, saltándote varios avisos del sistema. Ninguna empresa seria te pide instalar una aplicación desde un código QR de la calle.

4. El wifi falso

Un código que te conecta a una red controlada por otra persona, desde la que puede ver parte de tu tráfico. Es menos frecuente que los anteriores, pero existe en sitios de mucho paso como aeropuertos y estaciones.

Las tres comprobaciones que lo evitan casi todo

Señales de alarma cuando ya has abierto

• La dirección es larguísima y llena de caracteres raros, o usa un acortador que no reconoces.
• El dominio se parece al bueno pero no lo es: una letra de más, un guion, otra terminación.
• El navegador avisa de que el sitio no es seguro.
• La página mete prisa: «te quedan 5 minutos», «tu cuenta será bloqueada hoy».
• Te pide una contraseña que en ese contexto no tiene ningún sentido.
• El diseño es casi igual al oficial pero con logotipos de baja calidad o faltas de ortografía.

Si crees que has picado

• Si has metido una contraseña: cámbiala inmediatamente, y también en cualquier otro sitio donde uses la misma.
• Si has dado datos de tarjeta: llama a tu banco y bloquéala. No esperes a ver si te cobran.
• Si has instalado algo: desinstálalo y revisa los permisos concedidos a las aplicaciones recientes.
• En cualquier caso: puedes denunciarlo. En España, la Policía Nacional y la Guardia Civil tienen canales para fraudes en internet, y el INCIBE atiende dudas de ciudadanos.

Si eres tú quien pone los códigos

Tienes dos responsabilidades, y una de ellas casi nadie la cumple:

• Revisa tus propios códigos de vez en cuando. Escanéalos tú, con tu móvil, como un cliente. Si alguien ha pegado algo encima de tu código de pago o de tu carta, lo descubres tú y no la policía.
• Usa soportes difíciles de manipular. Una pegatina de papel se tapa con otra pegatina en dos segundos. Una pieza rígida, grabada o impresa en relieve, no: para falsearla hay que sustituir el objeto entero, y eso se nota.
• Que el destino sea tu propio dominio. Si tu código apunta a una dirección tuya, reconocible, el cliente puede comprobar de un vistazo que está en el sitio correcto. Si apunta a un acortador raro, le estás enseñando a fiarse de enlaces que no entiende.
• Nunca pidas pagos ni contraseñas nada más entrar desde un QR. Además de ser mala práctica, acostumbra a tus clientes al patrón que usan los estafadores.

En resumen

Los códigos QR no son peligrosos: son transparentes de más, en el sentido de que no puedes ver a dónde llevan hasta que los escaneas. Pero tu móvil ya te da esa información antes de abrir nada, y leerla es un segundo. Con ese segundo, y con mirar si la pegatina está pegada encima de otra, te ahorras el 99 % de los problemas.