Cómo comprobar si un código QR es seguro antes de abrir su enlace

Comprueba el enlace antes de abrirlo

1. Escanea sin abrir el resultado de inmediato. Usa la aplicación Cámara de Android o un lector QR que muestre primero una vista previa del enlace. Si tu lector abre los enlaces automáticamente, utiliza otro método que te permita revisar el resultado antes de visitar la página. Si el código está en una imagen guardada en el teléfono, consulta nuestra guía para escanear códigos QR de capturas de pantalla.
2. Lee la dirección web completa. Comprueba el dominio real, cómo está escrito y cualquier palabra o terminación desconocida. Si la vista previa corta parte de la dirección, usa un lector que permita consultar todo el texto decodificado sin abrir el enlace. El texto impreso junto al código QR no demuestra adónde lleva.
3. Ten en cuenta de dónde procede. Un mensaje inesperado, un paquete misterioso o una pegatina en un dispositivo público merecen especial precaución. Incluso un cartel que parece oficial puede haber sido alterado.
4. Verifica por separado las solicitudes de pago o inicio de sesión. Abre la aplicación oficial de la empresa, escribe una dirección que ya conozcas o llama a un número de confianza en lugar de seguir el enlace del código QR.

Si tienes dudas, no lo abras. Revisar la URL puede revelar señales de alerta, pero una dirección que parece conocida no demuestra que el sitio web sea legítimo.

Identifica el dominio real de la URL

Que una URL incluya el nombre de una empresa conocida no significa que esa empresa controle el sitio. Compara https://accounts.example.com, que pertenece a example.com, con https://accounts.example.com.verify-login.example, que pertenece a verify-login.example.

Las direcciones terminadas en .example son ficticias. Fíjate en pequeños cambios de escritura y enlaces acortados que ocultan el destino. Si no puedes comprobar el enlace por otra vía, no lo uses para iniciar sesión o pagar. Ni siquiera una dirección bien escrita convierte una solicitud inesperada en fiable.

Señales de alerta alrededor del código

• Una pegatina sobre otro código QR: Comprueba si hay señales de manipulación en parquímetros, carteles e instrucciones de pago impresas. Ante la duda, utiliza la aplicación o el sitio web oficial del proveedor.
• Presión para actuar de inmediato: Los mensajes sobre entregas fallidas, multas, actividad sospechosa en una cuenta o premios a punto de caducar pueden intentar que actúes sin pensar.
• Paquete o regalo inesperado: Un código QR desconocido que te pide identificar al remitente, confirmar un pedido o reclamar un premio podría llevarte a una página de phishing.
• Solicitud inesperada de inicio de sesión, datos bancarios o descarga: No introduzcas contraseñas, datos financieros ni información personal solo porque el código te lleve a una página convincente.

La Comisión Federal de Comercio de Estados Unidos (FTC) ha documentado estafas con pegatinas QR en parquímetros y enlaces QR fraudulentos enviados por mensajes. Si un código te parece sospechoso, lo más seguro es contactar con la organización a través de un canal conocido e independiente.

Por qué leer un QR no garantiza que su enlace sea seguro

No. HTTPS protege la conexión con un sitio web, pero no demuestra que este pertenezca a la marca que aparece en pantalla. Una página de phishing también puede mostrar un candado y utilizar HTTPS.

Escanear un código solo permite leer los datos que contiene. ThinApps QR Code Scanner lee códigos mediante la cámara o una imagen seleccionada y muestra el valor exacto obtenido para que puedas revisarlo. Nunca abre un enlace automáticamente: tienes que tocar Open de forma explícita, y esa opción solo está disponible para direcciones que superan comprobaciones locales básicas del formato de URL. Estas comprobaciones no detectan phishing, no evalúan la reputación del sitio ni garantizan que el destino sea fiable.

Si abres enlaces en Chrome para Android, puedes mantener activada la función Navegación segura de Google para recibir advertencias sobre sitios identificados como peligrosos. Que no aparezca una advertencia no significa que todas las páginas sean fiables.

Si ya abriste un enlace sospechoso

• Solo viste la vista previa del código QR: Ciérrala sin seguir la dirección. Decodificar una URL no equivale a enviar tu contraseña o tus datos de pago al sitio web.
• Abriste la página, pero no introdujiste datos: Ciérrala, rechaza descargas o permisos inesperados y mantén Android y el navegador actualizados. Abrir una página suele implicar menos riesgo que enviar datos, pero el riesgo no es nulo.
• Introdujiste una contraseña: Accede al servicio real mediante su aplicación oficial o una dirección conocida y cambia la contraseña. Cambia también esa contraseña en otros servicios donde la hayas reutilizado y activa la autenticación multifactor.
• Introdujiste los datos de una tarjeta o realizaste un pago: Contacta con tu banco o proveedor de pagos mediante un canal oficial y revisa tus movimientos para detectar operaciones no autorizadas.
• Instalaste una aplicación desconocida: Desinstálala si es posible, revisa los permisos que le concediste y ejecuta Google Play Protect. Si el dispositivo sigue comportándose de forma sospechosa, busca ayuda adicional sobre seguridad.

Si estás en Estados Unidos, puedes denunciar la estafa ante la FTC. En otros países, acude a la autoridad local de protección al consumidor o de ciberdelincuencia.