INCIBE ha vuelto a poner el foco en una estafa que ya no se mueve solo por SMS o correo: ahora aparece impresa y colocada bajo el limpiaparabrisas de coches aparcados en Málaga. El papel imita con bastante detalle un boletín de denuncia oficial, con el escudo del Ministerio del Interior y el logotipo de la DGT, y pide escanear un código QR para "consultar" o pagar la supuesta sanción.
El Ayuntamiento y la Policía Local de Málaga ya han confirmado los primeros casos tras detectar el patrón esta semana. La reacción en cadena es fácil de imaginar: llegas al coche, ves el papel, el estómago se encoge y el impulso es escanear cuanto antes para salir de dudas. Justo ahí está la trampa.
Cómo actúa INCIBE ante este tipo de fraude con QR
El mecanismo detrás de esta multa falsa tiene nombre técnico: qrishing, una variante del phishing que sustituye el enlace de un correo o SMS por un código QR impreso. Al escanearlo con el móvil, la víctima llega a una página que imita el entorno digital de la DGT y que pide introducir los datos de la tarjeta bancaria para "pagar" la sanción.
INCIBE lleva meses documentando patrones parecidos en otros canales —SMS que suplantan a la Seguridad Social, llamadas que se hacen pasar por soporte técnico— y el denominador común es siempre el mismo: generar urgencia para que la víctima actúe sin pensar. El organismo insiste en que la clave no está en la sofisticación técnica del ataque, sino en la reacción impulsiva de quien lo recibe.
Los detalles que delatan la falsificación
Antes de escanear cualquier QR sospechoso conviene mirar de cerca el documento. La advertencia de INCIBE sobre fraudes similares coincide con lo que ya han detectado en Málaga: el papel presenta errores tipográficos evidentes, como "Jefafura" en lugar de "Jefatura" o "Apartadp" en lugar de "Apartado", y carece de datos que sí figuran en cualquier boletín real.
Faltan elementos básicos como el número de identificación del agente, los datos exactos del vehículo o el lugar donde supuestamente se cometió la infracción. Ninguna multa auténtica de tráfico, ya sea municipal o de la DGT, incorpora nunca un código QR para gestionar el pago; ese detalle, por sí solo, ya debería bastar para sospechar.
Por qué este fraude está creciendo tan rápido
Los datos explican por qué este tipo de estafa se ha disparado en los últimos meses. Según recoge Kaspersky, a comienzos de 2026 los ataques de phishing mediante códigos QR se multiplicaron por cinco respecto al año anterior, con casi 250.000 detecciones mensuales solo en este vector.
La razón técnica es sencilla: la mayoría de los filtros de seguridad de los teléfonos no analizan el contenido de una imagen, así que un enlace malicioso escondido dentro de un QR pasa desapercibido hasta que ya es demasiado tarde. A eso se suma un factor psicológico: si el papel parece oficial, el cerebro tiende a no cuestionar lo que hay detrás del código.
Qué hacer si ya has escaneado el código
Si has llegado a escanear el QR pero no has introducido ningún dato, basta con cerrar la página y no volver a acceder a ella. El problema aparece cuando ya se han facilitado datos bancarios, y ahí cada minuto cuenta para limitar el daño.
INCIBE recomienda un protocolo de actuación claro y sin necesidad de conocimientos técnicos, empezando por el contacto inmediato con el banco. Los pasos principales son estos:
- Llama a tu banco y usa la expresión "operación no autorizada", ya que obliga a la entidad a abrir un expediente de reclamación.
- Cambia las contraseñas de banca online y de cualquier servicio donde reutilices esa misma clave.
- Guarda capturas de pantalla del papel, del QR y de la web fraudulenta como prueba.
- Presenta denuncia ante la Policía Nacional o la Guardia Civil, y llama a la Línea de Ayuda en Ciberseguridad de INCIBE (017), gratuita y disponible todos los días del año.
Cómo protegerte de cara a los próximos meses
La tendencia apunta a que este tipo de fraude físico-digital seguirá extendiéndose a otras ciudades, aprovechando que muchos conductores todavía no asocian el parabrisas con un posible ataque informático. La buena noticia es que la defensa es simple: basta con desconfiar por sistema de cualquier QR no solicitado, venga de donde venga.
Antes de escanear, conviene usar aplicaciones que muestren la URL de destino sin necesidad de abrirla, y verificar siempre cualquier sanción a través de los canales oficiales de la DGT o del ayuntamiento correspondiente. Con ese hábito, tan sencillo como revisar el extracto bancario cada mes, la mayoría de estas estafas dejan de funcionar desde el primer intento.
