Las señales de alarma
- Adhesivo sobre otro código: en parquímetros, carteles o menús. Si se puede despegar, sospecha.
- Acortador desconocido: oculta el destino real. Un negocio serio puede usar uno propio, pero no uno aleatorio.
- Dominio con erratas:
paypa1.com,banco-seguro-verificacion.com, subdominios largos que imitan una marca. - Prisa y amenaza: «tu cuenta será bloqueada», «paga en 10 minutos», «verifica para no perder el paquete».
- Petición imposible: un QR en la calle que pide la contraseña del banco o los datos de la tarjeta.
Cómo comprobarlo en la práctica
- Usa un lector que muestre la URL y no abra automáticamente.
- Lee el dominio de derecha a izquierda: lo que está antes de la primera barra es lo que importa.
- Compara con el dominio oficial que ya conoces, no con el que aparece en el cartel.
- Si el destino pide login, cierra y entra escribiendo la dirección a mano.
- Si es un pago, abre la app del banco y cobra desde dentro; no escanees un QR que te envían para «recibir».
Por qué HTTPS no basta
Un certificado solo demuestra que la conexión está cifrada, no quién está detrás. Cualquiera puede obtener uno para un dominio nuevo. La pregunta correcta no es «¿tiene candado?» sino «¿este dominio es el de la empresa que dice ser?».
Regla: si el QR te pide instalar una app fuera de las tiendas oficiales, dar acceso a tu pantalla o pagar por un medio que no reconoces, detente.
Si ya lo escaneaste
Cierra la página sin introducir nada. Si escribiste credenciales, cámbialas desde la app o el sitio oficial y activa la verificación en dos pasos. Si diste datos de tarjeta, llama al banco y bloquea el medio de pago. Si instalaste un perfil o una app desconocida, desinstálala y revisa los permisos. Guarda una captura del código y del cartel: ayuda a reportarlo.
Reporta el QR falso al establecimiento y, si está en la vía pública, a la autoridad local o al ayuntamiento. Los códigos superpuestos suelen afectar a muchos usuarios.
Preguntas frecuentes
¿HTTPS es seguro?
Cifra, pero no prueba identidad.
¿Cómo veo el destino?
Con un lector que muestre la URL antes de abrir.
¿Y si ya lo escaneé?
Cierra, cambia claves y avisa al banco si diste datos de pago.
¿Los QR de la calle?
Sí, revisa que no haya un adhesivo superpuesto.