Quishing: cómo funcionan las estafas con códigos QR y cómo revisar uno

El quishing (phishing con código QR) consiste en que un estafador pone un enlace dentro de un código, en una pegatina, un paquete o un mensaje, con la esperanza de que lo escanees y luego inicies sesión o pagues en una página falsa. Escanear solo lee el código. El daño viene de lo que abres, escribes o instalas después, así que yo siempre miraría primero la dirección.

¿Qué es el quishing?

El FBI describe el truco así: «Los ciberdelincuentes manipulan códigos QR, tanto digitales como físicos, para reemplazar los códigos legítimos por códigos maliciosos». Una víctima «escanea lo que cree que es un código legítimo, pero el código manipulado la dirige a un sitio malicioso, que le pide que introduzca datos de inicio de sesión y financieros» (FBI IC3). El FBI añade que «los códigos QR no son maliciosos por naturaleza». Lo que importa es a dónde apunta el código.

La FTC da la misma advertencia: un código escaneado puede llevarte a un sitio falso diseñado para robar tu información, o instalar malware (FTC). El smishing, la misma idea por mensaje de texto, está explicado en ¿Qué es el smishing?. Si quieres revisar un código ahora mismo, el lector de códigos QR gratuito de esta web muestra adónde lleva antes de que abras nada.

Dónde aparecen los códigos QR falsos

• Pegatinas en parquímetros y terminales de pago. La FTC advierte que los estafadores cubren con los suyos los códigos QR reales de los parquímetros, y que un código falso puede llevar a un sitio pensado para robar dinero, datos personales o ambas cosas (FTC). El FBI también incluye «una pegatina colocada encima del código original» como señal de manipulación (FBI IC3).
• Paquetes que no pediste. La FTC describe un paquete inesperado con una nota que te pide escanear un código para saber quién lo envió o cómo devolverlo. El código puede llevar a una página de phishing o a una descarga de malware (FTC). El FBI lo considera una variante de la estafa de brushing (envíos falsos) y dice: «No escanees códigos QR de origen desconocido» (FBI IC3).
• Mensajes de texto y correos con un código en lugar de un enlace. La FTC dice que los estafadores envían códigos por mensaje de texto o correo con un motivo inventado para escanearlos, como una entrega fallida, un problema con la cuenta o una actividad sospechosa (FTC). No he encontrado un aviso oficial sobre códigos QR en mensajes de texto falsos de USPS en concreto, así que para los mensajes de entrega en general consulta texto falso de USPS: cómo reconocerlo.
• Correos de pago fallido. El ejemplo del FBI es un correo que dice que un pago falló y que solo se puede completar con un código QR. Su consejo es llamar a la empresa, usando un número de un sitio de confianza y no el del correo (FBI IC3).

Qué puede y qué no puede hacer escanear en el iPhone

Los pasos de Apple: abre Cámara, apunta al código en modo Foto y luego «Toca el enlace que aparece en la parte inferior de la pantalla» (Apple Support). Así que la Cámara lee el código y ofrece un enlace, y no se abre nada hasta que lo tocas. Esa pausa es tu oportunidad para leer la dirección.

Lo que pasa después depende de la página. El FBI dice que un código malicioso puede llevar a un sitio que pide datos de inicio de sesión y financieros, o instalar malware (FBI IC3). Yo trataría cualquier página que pida una contraseña, un número de tarjeta o la instalación de una app tras un escaneo como sospechosa hasta que se demuestre lo contrario.

Cómo revisar un código QR antes de abrirlo

1. Mira primero el enlace. La FTC dice que hay que «revisar la URL antes de abrirla» y buscar errores de escritura o letras cambiadas (FTC). Una dirección falsa puede parecerse mucho a la real, con una errata o una letra mal puesta (FBI IC3).
2. Pásalo por un escáner que muestre la dirección real. En el lector de códigos QR subes una foto o una captura del código. Lee la imagen en tu navegador y no la sube, muestra en letras grandes el sitio al que el enlace lleva de verdad y marca señales de alerta: un sitio que no es la empresa que menciona, un acortador de enlaces, un enlace sin cifrar, una dirección IP a secas, palabras sobre peajes, multas o entregas, una descarga de archivo o de app, y un pago en criptomonedas. Nunca dice que un enlace sea seguro, y no puede seguir un enlace acortado, porque nunca abre aquello a lo que apunta el código. Un resultado limpio solo significa que nada en el código parece sospechoso. Si Safari marca la página, consulta también qué hacer ante una advertencia de sitio web engañoso.
3. Revisa un código físico. Pasa un dedo por encima. Si es una pegatina sobre otro código, no lo uses (FBI IC3).
4. Ignora el código si es inesperado o urgente. La FTC dice que evites los códigos de mensajes que no esperabas y que contactes con la empresa a través de un número de teléfono o un sitio web que ya sepas que son reales (FTC). Para un pago, el FBI sugiere escribir tú mismo una dirección conocida y de confianza (FBI IC3).
5. No instales nada desde un código. El FBI dice: «No descargues una app desde un código QR. Usa la tienda de apps de tu teléfono para una descarga más segura». También desaconseja descargar una app de escáner QR aparte, ya que la mayoría de los teléfonos tienen uno en la Cámara (FBI IC3).

¿Qué hago si ya lo escaneé?

Escanear solo lee el código, y no se abre nada hasta que tocas el enlace. Si abriste la página, esto es lo que haría, siguiendo a la FTC:

• No contactes con el estafador a través de la página falsa, ya que puede intentar sacarte más dinero o información (FTC).
• Si escribiste una contraseña, cámbiala en el sitio real y en cualquier cuenta que use la misma, y activa la autenticación de doble factor (FTC).
• Si escribiste datos de tarjeta o bancarios, o pagaste, revisa tus extractos de tarjeta y del banco por transacciones que no hiciste (FTC), y avisa a tu banco. El FBI advierte de que las fuerzas del orden «no pueden garantizar la recuperación de fondos perdidos después de una transferencia», así que no esperes (FBI IC3).
• Si se instaló algo, consulta cómo saber si tu iPhone ha sido hackeado.
• Revisa tu crédito. La FTC sugiere un informe de crédito gratuito en AnnualCreditReport.com y, si tu identidad fue robada, un plan de recuperación en IdentityTheft.gov (FTC).

Cómo denunciar una estafa con código QR

• Denúncialo ante la FTC en ReportFraud.ftc.gov (FTC).
• Presenta la queja ante el Centro de Denuncias de Delitos en Internet del FBI en ic3.gov, o en la oficina local del FBI (FBI IC3). En el caso de un paquete, incluye el nombre o la empresa del remitente, cómo se puso en contacto contigo y las apps o permisos que intervinieron (FBI IC3).
• Para un código en un parquímetro o en una terminal de pago, yo también avisaría a quien lo gestiona para que lo retire. No encontré una fuente oficial para ese paso, así que es una sugerencia mía.

Lo que Mistero puede y no puede hacer aquí

Mistero no puede impedir que alguien pegue una pegatina falsa en un parquímetro, no puede impedir que llegue un mensaje de estafa y no puede recuperar dinero. Tampoco puede decirte que un enlace es seguro.

Lo que hace la app, según su ficha: «Escanear códigos QR y revisar sus enlaces antes de abrirlos», «Ayudar a bloquear páginas de phishing conocidas y dominios maliciosos» y «En iPhone, activar la identificación de llamadas, el bloqueo de llamadas de spam y el filtrado de SMS» (ficha de la App Store, consultada el 4 nov 2026). Son comprobaciones extra alrededor de la que importa: leer la dirección antes de tocar. Más en seguridad de Mistero.

Fuentes

• FBI IC3, Cybercriminals Tampering with QR Codes to Steal Victim Funds (I-011822-PSA, Jan 18, 2022): https://www.ic3.gov/PSA/2022/PSA220118 (consultada el 4 nov 2026)
• FBI IC3, Unsolicited Packages Containing QR Codes Used to Initiate Fraud Schemes (I-073125-PSA): https://www.ic3.gov/PSA/2025/PSA250731 (consultada el 4 nov 2026)
• FTC, Scammers hide harmful links in QR codes to steal your information (Dec 2023): https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information (consultada el 4 nov 2026)
• FTC, Scam alert: QR code on an unexpected package (Jan 2025): https://consumer.ftc.gov/consumer-alerts/2025/01/scam-alert-qr-code-unexpected-package (consultada el 4 nov 2026)
• FTC, See a QR code parked somewhere? Don’t scan it…yet! (Sep 2026): https://consumer.ftc.gov/consumer-alerts/2026/09/see-qr-code-parked-somewhere-dont-scan-ityet (consultada el 4 nov 2026)
• Apple Support, Scan a QR code with your iPhone camera (iPhone User Guide): https://support.apple.com/guide/iphone/scan-a-qr-code-iphe8bda8762/ios (consultada el 4 nov 2026)
• Mistero VPN, QR code scanner: https://misterovpn.com/qr-code-scanner (consultada el 4 nov 2026)
• App Store, Mistero VPN: Privacy & Proxy: https://apps.apple.com/app/id1583175414 (consultada el 4 nov 2026)