3Códigos QR falsos en aparcamientos o restaurantes que llevan a webs de pago fraudulentas
El quishing, contracción de QR y phishing, ha convertido el gesto más rutinario del móvil en una trampa: basta pegar una pegatina con un código falso sobre el QR legítimo de un parquímetro, la mesa de un restaurante o una máquina de pago para que la víctima acabe en una web clonada que imita a la original y le solicita los datos de su tarjeta. Lo que hace especialmente peligrosa esta estafa es que, a diferencia de un correo con un enlace sospechoso, el destino del código es invisible para el ojo humano: no hay URL que inspeccionar antes de escanear, y el propio teléfono solo muestra la dirección cuando ya es tarde. La normalización de estos códigos tras la pandemia ha eliminado el recelo, y los delincuentes lo explotan. ESET calcula que el 11% de los correos de phishing detectados en el primer semestre de 2026 incluían ya códigos QR maliciosos, con España como segundo país del mundo en incidencia, un 17% de la actividad global, solo por detrás de Estados Unidos.
En España, la variante más llamativa ha sido la de las multas falsas de aparcamiento: papeles colocados en el parabrisas que invitan a escanear un QR para "pagar la sanción" y llevan a una web fraudulenta creada para robar datos bancarios o instalar un troyano. La Guardia Civil ha alertado de su presencia en la Costa del Sol, Alicante, Valencia, Madrid o Tenerife, y recuerda que ninguna notificación oficial usa códigos QR. El daño se dispara porque el pago se resuelve en segundos y nadie verifica la dirección; en Reino Unido, Action Fraud registró 1.386 denuncias en un solo año y pérdidas millonarias, con casos que van de una suscripción trampa de 39 libras a cargos de 400 o de 13.000 libras. Además, el pequeño importe inicial suele ser solo la puerta de entrada: los datos robados se reutilizan días después en llamadas de suplantación bancaria que terminan vaciando la cuenta.
