Las estafas con códigos QR funcionan porque no sabes a dónde te lleva uno hasta que lo escaneas. Para protegerte, escanéalo sin tocar el enlace y lee la dirección en pantalla: si no es la del lugar o te pide pagar, contraseñas o instalar una app, ciérralo. México fue el primero de Latinoamérica en detecciones, según ESET. Antes de abrir uno, fíjate que no sea una calcomanía pegada encima de otra, escanéalo sin tocar el enlace y lee la dirección que aparece en la pantalla: si no es la del lugar donde estás o te pide pagar, tus contraseñas o instalar una app, ciérralo y entra tú a la app o al sitio oficial. Si ya diste datos de tu tarjeta, llama a tu banco ese mismo día.
A esto se le llama “quishing”, de “QR” y “phishing” (las estafas que buscan que des tus datos en una página falsa). No es algo raro: según ESET, en la primera mitad de 2026 los códigos QR aparecieron en cerca de 11 % de los correos de este tipo que analizó la empresa de seguridad, y México fue el tercer país del mundo con más detecciones, después de Estados Unidos y España, y el primero de Latinoamérica.
Dónde aparecen las estafas con códigos QR
En cualquier lugar donde ya estás acostumbrado a escanear uno sin pensarlo:
- Parquímetros con un “paga aquí”. Es uno de los trucos más comunes: pegan su código encima del original.
- Mesas de restaurantes y cafés, donde esperas ver el menú o pagar la cuenta.
- Volantes, carteles y papeles en el parabrisas del coche, con promociones, multas o avisos.
- Paquetes o etiquetas que no esperabas, con un código para “rastrear tu envío” o “reprogramar la entrega”.
- Correos, PDF y mensajes de WhatsApp o SMS. ESET encontró, por ejemplo, correos que imitan un servicio de firma electrónica: dicen que tienes un documento pendiente y el único camino para verlo es escanear el código.
Qué puede pasar después de escanearlo
El código puede llevarte a una página falsa de tu banco, tu correo o una tienda para que escribas tu contraseña; a una pantalla de pago que se ve real, a veces con el monto ya puesto, para robar los datos de tu tarjeta, o a la descarga de una app fuera de la App Store o de Google Play que puede robar tu información.
¿Cómo ver a dónde lleva un código QR antes de abrirlo?
La clave es escanear sin tocar nada todavía. Tanto en iPhone como en Android, la cámara reconoce el código y te muestra un enlace en la pantalla; la página no se abre hasta que lo tocas.
En iPhone (ayuda de Apple):
- Abre la app Cámara en modo Foto.
- Apunta al código para que se vea completo en la pantalla. No tienes que tomar la foto.
- Abajo aparece un enlace. Lee la dirección antes de tocarlo.
- Si no te convence, cierra la cámara. También puedes escanear desde el centro de control con el botón Escanear código.
En Android (los nombres cambian un poco según la marca):
- Abre la app de Cámara y apunta al código. En un Pixel aparece una burbuja o un vínculo en la pantalla, según la ayuda de Google; si no sale, revisa que Sugerencias para escanear esté activado en la configuración de la cámara.
- Si tu cámara no lee códigos, abre Chrome, toca el ícono de Google Lens en la barra de búsqueda y luego Busca con la cámara (ayuda de Chrome).
- Lee la dirección del vínculo antes de tocarlo.
Señales de que un QR es falso
- Está pegado encima de otro o se ve despegado, chueco o de otro material que el resto del letrero.
- La dirección no es la del lugar. Si estás en un parquímetro y la página tiene un nombre que no tiene que ver o termina en algo raro (“.top”, “.xyz”, una cadena de letras sin sentido), no la abras.
- Te llegó sin que lo pidieras, en un correo, un mensaje o un papel que nadie te explicó.
- Te apura: “tu paquete se devolverá hoy”, “tienes una multa pendiente”, “tu cuenta será bloqueada”.
- Te pide contraseñas, códigos de verificación o los datos de tu tarjeta para algo que no lo necesita, como ver un menú.
- Te pide instalar una app para continuar.
La forma más segura: no usar el QR
Para pagar, rastrear un paquete o revisar un trámite, el camino más seguro es abrir tú la app oficial o escribir la dirección en el navegador. Si el parquímetro tiene app, úsala; si el paquete es de una paquetería, entra a su sitio con el número de guía. El QR solo te ahorra segundos.
Lo mismo aplica para las ofertas que llegan por mensaje, como explicamos en cómo comprar en línea sin caer en una estafa.
¿Qué hacer si ya escaneaste un código QR sospechoso?
Si solo lo abriste y no escribiste nada, cierra la página y listo. Si fuiste más allá:
- Si diste los datos de tu tarjeta o pagaste: llama a tu banco de inmediato al número que viene atrás de tu tarjeta, pide bloquearla y levanta una aclaración por el cargo. Hazlo aunque todavía no veas cargos.
- Si escribiste una contraseña: cámbiala desde la app o el sitio oficial, no desde la página a la que te llevó el QR. Si usas esa misma contraseña en otras cuentas, cámbiala también ahí y activa la verificación en dos pasos.
- Si instalaste una app: desinstálala y revisa los movimientos de tu banco en los días siguientes.
- Guarda las pruebas: captura de la página, foto del código y del lugar donde estaba, y el comprobante si pagaste.
- Denúncialo: la Guardia Nacional recibe reportes de fraudes en línea en el 088, donde te orientan para presentar la denuncia. Si el código estaba en un negocio o en un parquímetro, avísales para que lo quiten.
Otras dudas sobre los códigos QR
¿Una app para leer QR me protege?
No hace falta: la cámara del iPhone y la de la mayoría de los Android ya leen códigos y te muestran la dirección. Si de todos modos quieres una, bájala solo de la App Store o de Google Play.
¿Me pueden robar algo solo por escanear un QR?
Al escanearlo, la cámara solo te muestra el enlace; el riesgo empieza cuando lo abres y escribes datos, pagas o instalas algo. Por eso conviene leer la dirección antes de tocarla.
¿Los QR para pagar en una tienda son seguros?
Si los muestra la caja o la terminal del negocio, son tan seguros como el negocio. Antes de confirmar, revisa que el nombre del comercio y el monto sean los correctos.
¿Qué hago si el QR me llegó por WhatsApp?
No lo escanees ni lo reenvíes, aunque venga de alguien conocido: su cuenta pudo haber sido robada. Si es de un número que no conoces, abre el chat, toca su nombre arriba y elige “Reportar” y “Bloquear”. Si es de un conocido, avísale por otra vía, como una llamada.
¿Cómo sé cuál es la app oficial del parquímetro de mi ciudad?
Búscala en el sitio del gobierno de tu ciudad o en el letrero impreso del parquímetro, no en la calcomanía. Descárgala desde la App Store o Google Play y revisa que el desarrollador sea el gobierno o la empresa que nombra el letrero. Si el QR te lleva a una página web, desconfía si no termina en el dominio del gobierno de tu ciudad (por lo general, “.gob.mx”).
¿Puedo recuperar mi dinero si pagué en un QR falso?
Depende de cómo pagaste. Con tarjeta, llama a tu banco ese mismo día, pide bloquearla y levanta una aclaración del cargo: es tu mejor oportunidad. Con transferencia es mucho más difícil, porque el dinero ya salió de tu cuenta; aun así, avisa a tu banco de inmediato y denuncia en el 088. Más pasos en cómo comprar en línea sin caer en una estafa.