Códigos QR maliciosos: cómo saber si uno es seguro

Un código QR es seguro cuando puedes ver qué codifica antes de que tu móvil actúe sobre ello: decodifica primero el patrón en texto plano, lee el destino real y decide después si quieres abrirlo. El problema de fondo es que un QR es opaco para el ojo humano —a diferencia de un enlace escrito, no hay forma de distinguir uno legítimo de uno fraudulento con solo mirarlo—, y muchas apps de cámara abren la URL automáticamente en cuanto detectan el patrón, sin darte esa oportunidad. Puedes romper ese automatismo con el escáner de QR seguro de Docuboxer: decodifica la imagen en tu navegador, te muestra el contenido como texto y, cuando ese contenido es un enlace, lo analiza —dominio real, homógrafos, esquema, acortadores— antes de que decidas si lo abres. Si solo quieres el texto crudo sin más, el lector de QR hace la parte de decodificar.

Por qué un QR es más peligroso que un enlace escrito

Un enlace de texto —aunque esté ofuscado— conserva algo de estructura visible: puedes pasar el cursor por encima, fijarte en el dominio antes de hacer clic. Un QR no ofrece nada de eso: es una rejilla de puntos negros y blancos que solo un lector puede traducir. Esa opacidad es exactamente lo que explota el quishing (phishing por QR), y aparece en unos pocos escenarios que se repiten una y otra vez:

• Pegatina superpuesta: el ataque más común y más barato de ejecutar. Alguien imprime un QR fraudulento en una pegatina idéntica en tamaño y acabado, y la pega encima del QR real de un parquímetro, una carta de restaurante o un cartel informativo. El usuario ve el mismo contexto físico de siempre y no sospecha nada.
• Correos de phishing con QR en vez de enlace: muchos filtros de correo analizan URLs pero no el contenido de una imagen. Meter la URL maliciosa dentro de un QR incrustado en el correo esquiva ese filtro, y además obliga a abrir el enlace desde el móvil, donde suele ser más difícil examinar la barra de direcciones con calma.
• Carteles falsos en espacios públicos: anuncios de "escanea para ganar", supuestas multas de aparcamiento con QR para "pagar online", o carteles de wifi gratis en cafeterías y aeropuertos. El contexto genera confianza y presión ("paga ya o la multa sube"), justo lo que reduce la probabilidad de que alguien pare a comprobar el destino.

Cómo analizar el enlace de un QR antes de abrirlo

Decodificar es el primer paso; el segundo es mirar ese enlace con criterio, y es justo donde la mayoría de la gente se queda. El escáner de QR seguro encadena los dos: lee el código desde una imagen o desde la cámara, identifica qué tipo de contenido trae —una URL, credenciales de wifi, una vCard, un teléfono, un SMS o texto suelto— y, si es una URL, la descompone y marca los patrones que suelen acompañar a un enlace fraudulento. Todo ocurre dentro de tu navegador: ni la imagen ni la URL salen de tu dispositivo, y la herramienta nunca visita el enlace para comprobarlo.

Entre las señales que señala sobre el enlace decodificado:

• Homógrafos y punycode. Un dominio con caracteres no latinos se codifica en ASCII con el prefijo xn--; el análisis lo revierte para enseñarte el host tal y como se lee, y avisa cuando mezcla alfabetos (una "a" cirílica entre letras latinas, por ejemplo).
• Esquema, IP literal y puerto. Enlaces que no son http/https, hosts que son una dirección IP en vez de un dominio, o puertos fuera de los habituales.
• Acortadores conocidos y subdominios sospechosos. Dominios acortadores, cadenas de subdominios excesivamente largas y etiquetas con aspecto aleatorio (alta entropía), típicas de infraestructura desechable.
• Credenciales incrustadas. La forma algo@dominio.com dentro de una URL: el texto delante de la arroba se ignora al navegar, pero a simple vista parece el dominio de destino. Es un truco clásico de suplantación.
• Parámetros de seguimiento. No son peligrosos, pero te dicen quién va a medir tu visita si abres el enlace.

Ninguna de estas señales es un veredicto, y conviene tenerlo muy claro: que un enlace no dispare ninguna no significa que sea seguro, solo que no lleva los trucos más habituales a la vista. El análisis te da los datos; la decisión sigue siendo tuya. Y si el enlace no te llega en un QR sino pegado en un correo o un mensaje, el mismo motor está en comprobar si un enlace es seguro, donde lo pegas como texto y obtienes las mismas señales.

Qué mirar en la URL una vez decodificada

Merece la pena saber qué mira ese análisis, porque al final quien decide eres tú y muchas veces tendrás la URL delante sin ninguna herramienta a mano. Cuando el contenido es una URL, hay cuatro cosas concretas que revisar antes de abrirla:

• Dominio real frente a subdominio que imita una marca. banco.com y banco.com.verificacion-segura.net no son el mismo dominio: el que manda es el que está justo delante del primer / tras el nombre del dominio raíz, no cualquier fragmento que contenga el nombre de la marca. Un subdominio como banco.pago-seguro.info tampoco es de tu banco: el dominio real es pago-seguro.info.
• Acortadores que ocultan el destino. Un enlace corto no te dice a dónde vas hasta que lo sigues, lo que anula justo la ventaja de haber decodificado el QR a mano. Si ves un dominio acortador genérico en lugar de la web esperada, trátalo con la misma cautela que un QR sin decodificar: el destino sigue siendo desconocido.
• Homógrafos con caracteres de aspecto similar. Algunos caracteres Unicode son visualmente casi idénticos a letras latinas (una "a" cirílica en vez de la latina, por ejemplo), lo que permite registrar dominios que parecen escritos correctamente pero no lo están. Si algo en el dominio "no cuadra" al mirarlo con calma, es motivo suficiente para no continuar.
• Esquemas que no son http/https. Un QR puede codificar un enlace con esquema intent://, market:// o similar, pensado para abrir directamente una app o una tienda de aplicaciones saltándose el navegador y sus avisos. Si el texto decodificado no empieza por algo que reconoces, es una señal para parar antes que para seguir.

Si la URL trae parámetros con codificación porcentual y quieres ver exactamente qué caracteres esconden, el decodificador de URL revierte ese percent-encoding a texto legible, un paso extra útil cuando un enlace parece llevar datos ocultos en la propia URL.

Un QR también puede no ser una URL

No todo QR apunta a una web, y cada tipo de contenido implica una acción distinta si tu app lo procesa sin preguntarte:

• Credenciales de wifi. Un QR de este tipo trae el nombre de la red y la contraseña en texto: WIFI:S:MiRed;T:WPA;P:miclave;;. Escanearlo te conecta a esa red concreta, controlada por quien puso el cartel, no necesariamente por el establecimiento que confías que la ofrece.
• Tarjeta de contacto (vCard). Guarda un nombre, teléfono y correo directamente en tu agenda. El riesgo no es técnico sino de suplantación: un contacto con nombre de soporte técnico o de un compañero puede facilitar un ataque de ingeniería social posterior.
• Enlaces de pago. Cada vez más frecuentes en restaurantes y aparcamientos. Aquí se aplican las mismas comprobaciones de dominio que con cualquier URL, pero con más urgencia: un QR de pago fraudulento no roba tu atención, roba directamente tu dinero.

Ver el tipo de contenido antes de que tu móvil actúe —abrir el navegador, conectarte a una red, guardar un contacto— es la diferencia entre decidir tú y dejar que decida el QR.

El hábito correcto: decodificar, leer, decidir

La defensa práctica no requiere memorizar listas de dominios falsos ni instalar nada: es un orden de pasos. Primero, decodifica el QR en texto plano con una herramienta que no abra el enlace por ti. Segundo, lee el destino completo —dominio, esquema, parámetros— con la misma atención que le dedicarías a un enlace en un correo sospechoso. Tercero, decide, y solo entonces, si decides seguir, ábrelo. El lector de QR de Docuboxer cubre el primer paso —procesa la imagen en tu navegador, sin subirla a ningún servidor, y te devuelve el texto crudo—, y el escáner de QR seguro cubre el primero y el segundo, porque además de decodificar te desglosa el enlace y te marca sus señales. El tercero, decidir, no lo delega ninguna herramienta.

Si el QR es tuyo —lo generas para compartir un enlace, una red wifi de invitados o una tarjeta de contacto— el generador de QR te permite comprobar el resultado antes de imprimirlo, y también entender qué formato de código conviene según el caso: un QR admite más datos y errores de lectura que un código de barras lineal como EAN-13 o Code128, que puedes generar y comparar con la herramienta de códigos de barras.

Los límites de esta comprobación

Hay que ser honestos sobre lo que decodificar un QR consigue y lo que no. Ver la URL no la valida: un dominio puede leerse perfectamente correcto —sin homógrafos, sin subdominios raros— y aun así ser un sitio fraudulento registrado esa misma semana. Las herramientas decodifican el contenido y señalan patrones sospechosos en el enlace, pero no consultan listas de reputación ni visitan el destino para comprobar qué sirve, del mismo modo que un lector de código de barras no te dice si un producto es legítimo. Un enlace sin ninguna señal marcada es un enlace sin trucos evidentes, no un enlace verificado. Y si el QR enlaza a un archivo para descargar —un instalador, un PDF, un APK— comprobar la URL no sustituye a verificar la integridad de ese archivo una vez descargado, algo para lo que sirve un generador de hash: comparar el hash SHA-256 del archivo con el que publica la fuente oficial confirma que no ha sido alterado por el camino.

Decodificar antes de escanear reduce el riesgo de forma real, pero no lo elimina. La regla sigue siendo la de cualquier enlace: si algo pide prisa, pide datos de pago o credenciales, o el dominio no coincide exactamente con el que esperas, no continúes.

Preguntas frecuentes

Herramientas relacionadas

• Escanear un QR de forma segura — Decodifica el código y analiza su enlace antes de que lo abras.
• Comprobar si un enlace es seguro — El mismo análisis para enlaces que pegas de un correo o un mensaje.
• Leer código QR — Decodifica desde imagen o cámara, sin subir nada a un servidor.
• Generar código QR — Crea y revisa tus propios QR antes de compartirlos o imprimirlos.
• Codificar y decodificar URL — Revela qué esconde el percent-encoding de un enlace.
• Generar hash — Verifica la integridad de un archivo descargado desde un enlace de un QR.

También te puede interesar: 13 herramientas para developers que respetan tu privacidad.