Cómo Escanear Códigos QR de Forma Segura (y Qué Es el 'Quishing')
Un código QR no es más que una forma compacta de guardar texto — casi siempre una URL — en un patrón de cuadrados en blanco y negro que una cámara puede leer en una fracción de segundo. Son prácticos precisamente porque ocultan esa información: no puedes leer a simple vista adónde te va a llevar un QR, y ahí está también el problema.
Cómo Funciona Realmente un Código QR
Cada código QR codifica una cadena de texto usando un patrón de módulos (los cuadrados individuales) organizado según un estándar público. El escáner de tu teléfono simplemente decodifica ese patrón de vuelta a texto plano — normalmente una URL, pero también puede ser una red Wi-Fi, un número de teléfono o una tarjeta de contacto. El código en sí no "hace" nada: es tu teléfono el que decide abrir un navegador, conectarse a una red o guardar un contacto en cuanto termina de leerlo.
Esa automatización es exactamente lo que lo hace útil para acceder rápido a un menú digital o a un enlace de pago, y exactamente lo que lo hace explotable si el código apunta a algún sitio malicioso.
Qué Es el "Quishing"
El "quishing" (phishing por QR) consiste en reemplazar un código QR legítimo por uno falso que lleva a una página de inicio de sesión falsa, a un enlace de descarga de malware o a un formulario de pago fraudulento. Es especialmente eficaz porque:
- No puedes previsualizar el destino simplemente mirando el código, a diferencia de un enlace de texto donde a veces se nota una URL sospechosa.
- Los códigos físicos son fáciles de manipular: una simple pegatina superpuesta sobre un cartel, un parquímetro o un menú de mesa puede reemplazar el código original sin que nadie lo note.
- La gente confía en el contexto, no en el código. Si el cartel dice "Escanea para pagar el parking", asumimos que el QR realmente lleva ahí.
Cómo Protegerte
- Revisa la URL antes de continuar. La mayoría de las apps de cámara muestran el enlace decodificado antes de abrirlo. Tómate dos segundos para leerlo: si el dominio no coincide con el negocio o parece raro (letras cambiadas, dominios acortados sin razón aparente), no lo abras.
- Desconfía de estampillas o pegatinas superpuestas en códigos QR en lugares públicos — carteles, mesas de restaurante, parquímetros. Un QR "flotando" ligeramente sobre la superficie impresa es una señal de alerta clara.
- Nunca introduzcas datos de pago o contraseñas en una página a la que llegaste escaneando un QR desconocido, sobre todo si te pide "iniciar sesión de nuevo" de forma inesperada.
- Ten cuidado con los QR que descargan un archivo en lugar de abrir una página web — es una de las formas más directas de distribuir malware.
- Usa un lector que decodifique el texto sin abrir nada automáticamente, para poder examinar el contenido con calma antes de decidir qué hacer con él.
Cuándo un QR Es Perfectamente Seguro
La inmensa mayoría de los códigos QR que encuentras — menús de restaurante, billetes de embarque, códigos de tu propio banco o aerolínea generados en el momento — son totalmente legítimos. El riesgo no está en la tecnología en sí, sino en no poder verificar el destino antes de escanear. Con ese único hábito de revisar la URL antes de continuar, casi todo el riesgo desaparece.
Si simplemente quieres saber qué contiene un código QR antes de decidir si confiar en él — sin necesidad de abrir la cámara del móvil ni visitar el enlace directamente — nuestro Lector de Códigos QR decodifica el contenido de una imagen o de la cámara al instante, directamente en tu navegador.