Códigos QR maliciosos: cómo saber si uno es seguro

Un código QR es seguro cuando puedes ver qué codifica antes de que tu móvil actúe sobre ello: decodifica primero el patrón en texto plano, lee el destino real y decide después si quieres abrirlo. El problema de fondo es que un QR es opaco para el ojo humano —a diferencia de un enlace escrito, no hay forma de distinguir uno legítimo de uno fraudulento con solo mirarlo—, y muchas apps de cámara abren la URL automáticamente en cuanto detectan el patrón, sin darte esa oportunidad. Puedes romper ese automatismo con el lector de QR de Docuboxer, que decodifica la imagen en tu navegador y te muestra el contenido como texto antes de que decidas ir a ningún sitio.

Por qué un QR es más peligroso que un enlace escrito

Un enlace de texto —aunque esté ofuscado— conserva algo de estructura visible: puedes pasar el cursor por encima, fijarte en el dominio antes de hacer clic. Un QR no ofrece nada de eso: es una rejilla de puntos negros y blancos que solo un lector puede traducir. Esa opacidad es exactamente lo que explota el quishing (phishing por QR), y aparece en unos pocos escenarios que se repiten una y otra vez:

• Pegatina superpuesta: el ataque más común y más barato de ejecutar. Alguien imprime un QR fraudulento en una pegatina idéntica en tamaño y acabado, y la pega encima del QR real de un parquímetro, una carta de restaurante o un cartel informativo. El usuario ve el mismo contexto físico de siempre y no sospecha nada.
• Correos de phishing con QR en vez de enlace: muchos filtros de correo analizan URLs pero no el contenido de una imagen. Meter la URL maliciosa dentro de un QR incrustado en el correo esquiva ese filtro, y además obliga a abrir el enlace desde el móvil, donde suele ser más difícil examinar la barra de direcciones con calma.
• Carteles falsos en espacios públicos: anuncios de "escanea para ganar", supuestas multas de aparcamiento con QR para "pagar online", o carteles de wifi gratis en cafeterías y aeropuertos. El contexto genera confianza y presión ("paga ya o la multa sube"), justo lo que reduce la probabilidad de que alguien pare a comprobar el destino.

Qué mirar en la URL una vez decodificada

Decodificar el QR es solo el primer paso: lo que hagas con el texto resultante es lo que importa. Cuando el contenido es una URL, hay cuatro cosas concretas que revisar antes de abrirla:

• Dominio real frente a subdominio que imita una marca. banco.com y banco.com.verificacion-segura.net no son el mismo dominio: el que manda es el que está justo delante del primer / tras el nombre del dominio raíz, no cualquier fragmento que contenga el nombre de la marca. Un subdominio como banco.pago-seguro.info tampoco es de tu banco: el dominio real es pago-seguro.info.
• Acortadores que ocultan el destino. Un enlace corto no te dice a dónde vas hasta que lo sigues, lo que anula justo la ventaja de haber decodificado el QR a mano. Si ves un dominio acortador genérico en lugar de la web esperada, trátalo con la misma cautela que un QR sin decodificar: el destino sigue siendo desconocido.
• Homógrafos con caracteres de aspecto similar. Algunos caracteres Unicode son visualmente casi idénticos a letras latinas (una "a" cirílica en vez de la latina, por ejemplo), lo que permite registrar dominios que parecen escritos correctamente pero no lo están. Si algo en el dominio "no cuadra" al mirarlo con calma, es motivo suficiente para no continuar.
• Esquemas que no son http/https. Un QR puede codificar un enlace con esquema intent://, market:// o similar, pensado para abrir directamente una app o una tienda de aplicaciones saltándose el navegador y sus avisos. Si el texto decodificado no empieza por algo que reconoces, es una señal para parar antes que para seguir.

Si la URL trae parámetros con codificación porcentual y quieres ver exactamente qué caracteres esconden, el decodificador de URL revierte ese percent-encoding a texto legible, un paso extra útil cuando un enlace parece llevar datos ocultos en la propia URL.

Un QR también puede no ser una URL

No todo QR apunta a una web, y cada tipo de contenido implica una acción distinta si tu app lo procesa sin preguntarte:

• Credenciales de wifi. Un QR de este tipo trae el nombre de la red y la contraseña en texto: WIFI:S:MiRed;T:WPA;P:miclave;;. Escanearlo te conecta a esa red concreta, controlada por quien puso el cartel, no necesariamente por el establecimiento que confías que la ofrece.
• Tarjeta de contacto (vCard). Guarda un nombre, teléfono y correo directamente en tu agenda. El riesgo no es técnico sino de suplantación: un contacto con nombre de soporte técnico o de un compañero puede facilitar un ataque de ingeniería social posterior.
• Enlaces de pago. Cada vez más frecuentes en restaurantes y aparcamientos. Aquí se aplican las mismas comprobaciones de dominio que con cualquier URL, pero con más urgencia: un QR de pago fraudulento no roba tu atención, roba directamente tu dinero.

Ver el tipo de contenido antes de que tu móvil actúe —abrir el navegador, conectarte a una red, guardar un contacto— es la diferencia entre decidir tú y dejar que decida el QR.

El hábito correcto: decodificar, leer, decidir

La defensa práctica no requiere memorizar listas de dominios falsos ni instalar nada: es un orden de pasos. Primero, decodifica el QR en texto plano con una herramienta que no abra el enlace por ti. Segundo, lee el destino completo —dominio, esquema, parámetros— con la misma atención que le dedicarías a un enlace en un correo sospechoso. Tercero, decide, y solo entonces, si decides seguir, ábrelo. El lector de QR de Docuboxer está pensado exactamente para el primer paso: procesa la imagen en tu navegador, sin subirla a ningún servidor, y te devuelve el texto crudo para que tú hagas el segundo y el tercero.

Si el QR es tuyo —lo generas para compartir un enlace, una red wifi de invitados o una tarjeta de contacto— el generador de QR te permite comprobar el resultado antes de imprimirlo, y también entender qué formato de código conviene según el caso: un QR admite más datos y errores de lectura que un código de barras lineal como EAN-13 o Code128, que puedes generar y comparar con la herramienta de códigos de barras.

Los límites de esta comprobación

Hay que ser honestos sobre lo que decodificar un QR consigue y lo que no. Ver la URL no la valida: un dominio puede leerse perfectamente correcto —sin homógrafos, sin subdominios raros— y aun así ser un sitio fraudulento registrado esa misma semana. La herramienta decodifica el contenido; no consulta listas de reputación ni analiza si el destino es seguro, del mismo modo que un lector de código de barras no te dice si un producto es legítimo. Y si el QR enlaza a un archivo para descargar —un instalador, un PDF, un APK— comprobar la URL no sustituye a verificar la integridad de ese archivo una vez descargado, algo para lo que sirve un generador de hash: comparar el hash SHA-256 del archivo con el que publica la fuente oficial confirma que no ha sido alterado por el camino.

Decodificar antes de escanear reduce el riesgo de forma real, pero no lo elimina. La regla sigue siendo la de cualquier enlace: si algo pide prisa, pide datos de pago o credenciales, o el dominio no coincide exactamente con el que esperas, no continúes.

Preguntas frecuentes

Herramientas relacionadas

• Leer código QR — Decodifica desde imagen o cámara, sin subir nada a un servidor.
• Generar código QR — Crea y revisa tus propios QR antes de compartirlos o imprimirlos.
• Codificar y decodificar URL — Revela qué esconde el percent-encoding de un enlace.
• Generar hash — Verifica la integridad de un archivo descargado desde un enlace de un QR.

También te puede interesar: 13 herramientas para developers que respetan tu privacidad.