Estafas con códigos QR: cómo proteger a tus clientes y los QR de tu negocio
Un código QR es un enlace que nadie puede leer a simple vista. Esa es su comodidad y también su punto débil: un estafador puede pegar su propio código encima del tuyo y nadie lo notará hasta que sea tarde. A esta técnica se la conoce como quishing (de QR y phishing), y organismos de protección al consumidor como la FTC estadounidense han advertido sobre ella. Esto es lo que un negocio puede hacer para protegerse.
1. Cómo funciona una estafa con QR
Los esquemas más habituales siguen un patrón sencillo:
- Adhesivo encima del código legítimo. En parquímetros, mesas de restaurante, carteles o puntos de carga, el estafador pega un QR suyo que lleva a una página que imita la original: pagar el aparcamiento, ver la carta, conectarse al WiFi.
- Páginas de pago falsas. La copia pide los datos de la tarjeta para «completar el pago». La víctima cree que ha pagado al negocio y en realidad ha entregado su tarjeta.
- Robo de credenciales. El código lleva a una página que pide iniciar sesión con Google, Microsoft o la cuenta del banco.
- QR en correos y cartas. Mensajes que suplantan a un banco, una empresa de envíos o un organismo, con un QR «para verificar tu cuenta».
El denominador común: el usuario no ve la dirección antes de escanear y confía en el lugar donde está el código. Si el código está en tu local, es tu reputación la que se usa.
2. Medidas para tu negocio
- Apunta a tu propio dominio. Si el QR abre
turestaurante.com/carta, el cliente ve un nombre que reconoce en la vista previa de la cámara. Si abre un enlace corto genérico de un servicio externo, no tiene forma de distinguirlo de uno falso. - Escribe la dirección debajo del código. Un simple «turestaurante.com/carta» impreso junto al QR permite comparar lo que muestra la cámara con lo que debería abrir.
- No pidas pagos ni contraseñas a través de un QR si puedes evitarlo. Si cobras por QR, que la página de pago esté en tu dominio o en el de una pasarela reconocida, y dilo en el cartel.
- Revisa tus códigos con regularidad. Incluye en la rutina de apertura o cierre pasar la mano por los soportes: un adhesivo superpuesto se nota al tacto. Escanéalos de vez en cuando con tu propio teléfono.
- Usa códigos estáticos que controles. Un QR dinámico depende de la cuenta de un tercero; si esa cuenta se compromete o el proveedor cierra, alguien podría redirigir tus códigos. Un QR estático hacia tu dominio solo depende de ti. Lo explicamos en QR estáticos vs. dinámicos.
3. La protección física: que no se pueda tapar
La mayoría de estafas de este tipo dependen de que el código falso se pueda pegar encima sin que se note. Hay formas de ponérselo difícil:
- Códigos en relieve. Un QR impreso en 3D, con el código en relieve sobre la base, no admite un adhesivo plano encima sin que quede evidente. Es una de las ventajas prácticas de los soportes y placas en 3D, además de la durabilidad.
- Integrar el código en el diseño. Un QR rodeado de un marco con la marca, el texto y la dirección escrita es más difícil de sustituir que un cuadrado suelto en una pared.
- Protecciones transparentes fijas. En exteriores, un código detrás de un metacrilato atornillado no se puede tapar desde fuera (vigila el brillo, que puede dificultar la lectura).
- Ubicaciones a la vista del personal. Un código en el mostrador, donde siempre hay alguien, es más seguro que uno en una zona apartada.
4. Cómo ayudar a tus clientes a detectarlas
Puedes educar sin asustar. Mensajes breves junto al código, como «Nuestra carta está en turestaurante.com», bastan. Y si alguien pregunta, estos son los consejos básicos que se pueden dar:
- Antes de abrir el enlace, mira la dirección que muestra la cámara en la vista previa. Si no corresponde al negocio, no lo abras.
- Desconfía de un QR que, para ver una carta o conectarse al WiFi, pide datos de tarjeta o contraseñas.
- Si el código parece un adhesivo pegado encima de otro, avisa al personal.
- Para pagos, mejor usar la app oficial o el sitio escrito a mano en el navegador que un QR de origen dudoso.
Un QR de WiFi no abre ninguna página: solo propone conectarse a una red con un nombre concreto. Aun así, comprueba que el nombre de red que muestra el teléfono es el del local. Tienes la guía completa en QR de WiFi para alojamientos.
5. Qué hacer si encuentras un QR falso
- Retíralo y haz una foto antes, como prueba.
- No lo escanees «para ver qué es». Si necesitas investigarlo, hazlo con cuidado y sin introducir ningún dato.
- Revisa el resto de tus códigos: quien pega uno suele pegar varios.
- Avisa a tus clientes si sospechas que alguien pudo usarlo, por ejemplo en tus redes, indicando cuál es tu dirección legítima.
- Denuncia ante las autoridades o la entidad de protección al consumidor correspondiente, sobre todo si hubo pagos.
Si el código falso usaba un enlace corto de qrbit.space, escríbenos con el enlace completo: desactivamos los enlaces que se usen para phishing, spam o malware. Un código QR es una herramienta excelente; con unas pocas precauciones, también puede ser una herramienta segura.