Aparcas el coche, te acercas al parquímetro y encuentras un código QR para pagar desde el móvil. Lo escaneas, aparece una web con el logotipo del servicio municipal, introduces la matrícula y los datos de la tarjeta. Todo parece normal.
El problema es que el código que acabas de utilizar no pertenecía al parquímetro. Era una pegatina colocada encima del original.
Esta modalidad de fraude se conoce como qrishing, una combinación de código QR y phishing. Su versión física resulta especialmente eficaz porque se apoya en una idea muy sencilla: solemos confiar en aquello que está integrado en un entorno legítimo. Si el código aparece en una mesa de un restaurante, en una máquina de aparcamiento o en un cartel oficial, damos por hecho que pertenece a quien gestiona ese espacio.
El código, además, oculta la dirección a la que conduce. A diferencia de un enlace escrito, no permite detectar a simple vista que una letra ha cambiado o que el dominio no corresponde con la empresa real.
No es una amenaza teórica. Durante 2025, el Instituto Nacional de Ciberseguridad gestionó más de 122.000 incidentes de ciberseguridad en España, un 26% más que el año anterior. El fraude online representó cuatro de cada diez incidentes, con 45.445 casos, y el phishing encabezó esta categoría con 25.133 registros. Las cifras no se refieren exclusivamente a códigos QR, pero muestran el peso que ya tienen las suplantaciones destinadas a robar datos o dinero.
Por qué un QR pegado en la calle resulta tan convincente
Un código QR no es peligroso por sí mismo. Es una forma de almacenar información, normalmente una dirección web, para que el teléfono pueda leerla rápidamente. El riesgo aparece cuando alguien sustituye el destino legítimo por otro preparado para engañar.
En el qrishing físico, el delincuente no necesita manipular el sistema informático de una empresa ni acceder a su página web. Le basta con imprimir una pegatina y colocarla sobre el código verdadero. El resultado puede parecer parte del diseño original, sobre todo cuando se utiliza el mismo color, tamaño o texto que aparece alrededor.
INCIBE advierte de que estos códigos fraudulentos pueden colocarse en paredes, carteles, tablones y otros espacios accesibles. Tras escanearlos, la víctima puede acabar en una página que intenta obtener datos personales o financieros, promover una descarga maliciosa o activar una suscripción no deseada.
Los parquímetros son un ejemplo especialmente delicado. La persona está pendiente de la hora, del importe y de evitar una multa. Esa pequeña presión reduce el tiempo que dedica a comprobar la página. Durante 2025, la Policía Nacional difundió avisos sobre pegatinas con códigos falsos colocadas sobre los QR de máquinas de estacionamiento. Las páginas de destino imitaban servicios oficiales y solicitaban datos bancarios para efectuar un pago que nunca llegaba al operador real.
La misma técnica puede utilizarse sobre la carta digital de un restaurante, un cartel turístico, una promoción en un escaparate, una etiqueta de paquetería o las instrucciones de una máquina de autoservicio.
El entorno cambia, pero el engaño mantiene la misma estructura: un soporte que inspira confianza, una acción rápida y una página que pide más información de la necesaria.
Las señales que conviene revisar antes de escanear
Una pegatina no siempre significa fraude. Muchos negocios actualizan sus códigos colocando una nueva etiqueta sobre la anterior. Tampoco una página sencilla o poco cuidada tiene por qué ser falsa.
La clave está en sumar indicios, no en fiarse de una única señal.
Antes de acercar la cámara, mira el soporte. Un QR torcido, con bordes levantados, colocado encima de otra pegatina o con un acabado diferente al resto del cartel merece una comprobación. En una mesa de restaurante, puedes preguntar al personal. En un parquímetro, suele ser más seguro utilizar la aplicación oficial ya instalada o buscarla directamente en la tienda de aplicaciones.
Después de escanear, no pulses automáticamente sobre el aviso que aparece en pantalla. Comprueba la dirección completa. Los estafadores recurren a dominios parecidos al original, con letras intercambiadas, guiones añadidos o palabras que inspiran confianza, como “pago”, “seguro” u “oficial”.
Que una web tenga el candado del navegador tampoco demuestra que pertenezca a la empresa que dice representar. El candado indica que la conexión está cifrada, pero una página fraudulenta también puede disponer de ese certificado. Lo que debes comprobar es el dominio.
El Banco de España recomienda identificar siempre hacia dónde dirige el QR, desconfiar de las direcciones abreviadas y comprobar que la página enlazada corresponde realmente con el servicio esperado. También aconseja extremar la precaución cuando el destino pide datos personales o bancarios.
Hay una regla práctica que evita buena parte del riesgo: si vas a pagar, iniciar sesión o facilitar datos sensibles, no utilices el QR cuando puedas llegar al mismo servicio por una vía oficial.
Puedes abrir directamente la aplicación del banco, escribir la dirección de la empresa en el navegador o buscar el trámite en la web del ayuntamiento. Tardarás algo más, pero dejarás de depender de que la pegatina sea auténtica.
Desconfía también si la página solicita instalar una aplicación fuera de Google Play o App Store, descargar un archivo, habilitar permisos poco habituales o introducir varias veces los mismos datos. Un menú de restaurante no necesita tus credenciales bancarias. Una promoción no debería pedirte la clave completa de la banca online. Un pago de estacionamiento tampoco requiere que instales un programa desde una web desconocida.
Qué hacer si ya has utilizado un código fraudulento
Escanear un código sospechoso no significa automáticamente que hayan robado tu dinero. El nivel de riesgo depende de lo que haya sucedido después.
Si únicamente abriste la página y la cerraste sin descargar archivos ni proporcionar información, conviene borrar la pestaña, revisar el historial de descargas y mantener actualizado el sistema operativo del teléfono. No vuelvas a acceder para “comprobar” qué contenía el enlace.
Si instalaste una aplicación o archivo, elimina la descarga, revisa los permisos concedidos y realiza un análisis de seguridad. Cuando el móvil empieza a comportarse de forma extraña —aplicaciones que se abren solas, consumo anormal de batería, mensajes enviados sin permiso—, puede ser necesario pedir ayuda especializada.
La actuación debe ser más rápida cuando has facilitado contraseñas, datos de la tarjeta o claves de confirmación. Cambia las credenciales afectadas desde la página o aplicación oficial. Si reutilizas la misma contraseña en otros servicios, cámbiala también allí.
Contacta inmediatamente con tu banco si has introducido información bancaria o detectas un movimiento que no reconoces. El Banco de España señala que muchas aplicaciones permiten bloquear temporalmente una tarjeta y recomienda comunicar cualquier cargo sospechoso a la entidad o al emisor cuanto antes.
Guarda capturas de pantalla, la dirección web, los justificantes, los mensajes recibidos y, cuando sea posible sin manipular el soporte, una fotografía de la pegatina. INCIBE recomienda conservar estas pruebas, informar a la entidad bancaria y presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado cuando se haya producido un fraude. Su Línea de Ayuda en Ciberseguridad, disponible en el 017, ofrece orientación gratuita y confidencial.
También conviene avisar al responsable del lugar donde estaba colocado el código. El restaurante, el ayuntamiento o la empresa propietaria de la máquina podrán retirar la pegatina y evitar que otras personas la utilicen.
Los códigos QR se han convertido en una herramienta cotidiana porque ahorran pasos, pero esa comodidad no debería eliminar la comprobación más básica. Cuando el escaneo conduce a un pago, una descarga o una petición de datos, dedica unos segundos a revisar el soporte y la dirección. Si algo no encaja, cierra la página y accede al servicio por su canal oficial. Perder medio minuto resulta mucho menos costoso que intentar recuperar una cuenta o reclamar un cargo después.
Preguntas frecuentes
¿Qué es el qrishing físico?
Es un fraude en el que se utiliza un código QR colocado en un soporte físico para llevar a la víctima a una página maliciosa. En algunos casos, los delincuentes pegan su código encima de otro legítimo situado en un parquímetro, una mesa, un cartel o una máquina.
¿Pueden robarme dinero solo por escanear un código QR?
El simple escaneo no implica siempre un robo. El riesgo aumenta al abrir la página, descargar archivos, instalar aplicaciones o facilitar datos personales, contraseñas e información bancaria. Algunas páginas también pueden aprovechar fallos de seguridad del dispositivo, por lo que conviene mantenerlo actualizado.
¿Cómo sé si un código QR ha sido pegado sobre otro?
Revisa si tiene bordes levantados, una textura distinta, restos de adhesivo, una impresión de menor calidad o una posición que no encaja con el diseño. Si tienes dudas, pregunta al responsable del establecimiento o utiliza la web o aplicación oficial.
¿Qué hago si he introducido los datos de mi tarjeta?
Contacta cuanto antes con tu banco, bloquea temporalmente la tarjeta si tu aplicación lo permite y revisa los movimientos. Guarda las pruebas del fraude y denuncia los hechos si se ha producido un cargo o un uso no autorizado.
¿Es seguro pagar mediante un código QR?
Puede serlo cuando el código procede de una fuente fiable y la dirección corresponde con el servicio legítimo. Antes de pagar, revisa el dominio, el importe y el destinatario. Cuando sea posible, accede directamente desde la aplicación o página oficial.
