Un código QR puede ser realmente peligroso

Un código QR no indica por sí solo si su destino es seguro. Normalmente codifica una dirección web, un acceso Wi-Fi, un pago o una acción dentro de una aplicación. El riesgo no está en el cuadrado blanco y negro, sino en lo que se abre después del escaneo.

En la práctica, la comodidad reduce la vigilancia. Se escanea un cartel, un ticket, un menú o una máquina y a veces se actúa antes de comprobar el sitio o la acción propuesta.

Pagos, autenticación, descarga de aplicaciones, acceso de invitados o información de producto: los códigos QR se han impuesto porque reducen fricciones. Esos usos no son anormales y muchos resultan útiles.

El consenso práctico es simple: un QR no es sospechoso por naturaleza. El problema es que a menudo elimina el paso en el que leeríamos con atención una dirección.

No se trata solo del phishing clásico. Un QR puede llevar a una página de imitación, proponer un pago falso, descargar un archivo inesperado o aprovechar la confianza asociada a un lugar físico. Las campañas de quishing explotan precisamente este mecanismo.

Algunas aplicaciones muestran claramente la URL antes de abrirla y otras no. El riesgo cambia según el sistema, la aplicación, el lugar y la acción solicitada.

Una redirección a un portal falso puede capturar una contraseña o datos de pago. Un código fraudulento pegado sobre una máquina pública puede desviar un pago. Y una descarga aceptada sin atención puede instalar una aplicación no deseada.

El ataque suele ser oportunista más que sofisticado, pero el efecto es concreto: robo de credenciales, pago engañoso, recogida de datos o exposición de un dispositivo móvil.

Antes de actuar, revise el dominio, observe si el código parece añadido físicamente, evite introducir credenciales sensibles sin verificar el sitio y prefiera una navegación manual para servicios críticos. Si se pide un pago, confirme el beneficiario y el contexto antes de validar.

En un dispositivo profesional o sensible, conviene limitar los escaneos espontáneos de códigos desconocidos. No se trata de rechazar todos los QR, sino de recuperar el paso de verificación que el atajo eliminó.