Aparcas en el centro de la ciudad. El parquímetro muestra una pegatina limpia, bien centrada, con un logotipo municipal creíble y esa frase que ya se ha vuelto habitual: «Paga tu estacionamiento sin monedas — escanea». Sacas el móvil, escaneas, se abre un formulario, introduces la matrícula y la tarjeta bancaria. Treinta segundos, ninguna aplicación que instalar. Es exactamente el gesto que las ciudades llevan años animándote a hacer.
Salvo que la pegatina la colocaron la noche anterior encima de la auténtica.
Ningún enlace visible, ninguna falta de ortografía, ningún tono alarmista. El quishing —contracción de QR code y phishing— no tiene nada que ver con el SMS amenazante al que hemos aprendido a resistirnos. No te presiona: te hace un favor. Y quien se siente ayudado no se siente en peligro.
Por qué el código QR se ha convertido en el punto ciego de la vigilancia
Desde hace diez años, toda la educación del público frente al phishing se apoya en una única competencia: leer una dirección. Detectar el guion de más, el .xyz en lugar del .es, el nombre del banco seguido de una palabra parásita. Cybermalveillance.gouv.fr, la ANSSI o los servicios bancarios repiten el mismo consejo desde hace años: verifica el enlace antes de hacer clic.
El código QR anula esa competencia de golpe. Un cuadrado de píxeles negros no dice nada. No se puede sobrevolar, no se puede leer, no se puede comparar. Se escanea, es decir, se confía en él de antemano.
Tres factores agravan la situación:
- La banalización posterior a 2020. Cartas de restaurantes, venta de entradas, puntos de recarga, instrucciones de montaje de muebles, etiquetas de productos: el gesto de escanear se ha vuelto un reflejo, sin la menor sospecha asociada.
- La ruptura de contexto. El SMS fraudulento llega en un flujo (tu bandeja de mensajes) donde otros mensajes sirven de referencia. El código QR, en cambio, es físico: toma prestada la credibilidad del soporte sobre el que está pegado. Una pegatina sobre mobiliario urbano oficial parece oficial.
- El cambio de pantalla. A menudo escaneas el código expuesto en un soporte exterior con el teléfono sostenido con el brazo estirado, a plena luz, con prisa. Es el peor contexto posible para leer con atención una barra de direcciones truncada.
El smishing clásico no ha desaparecido —las oleadas de falsos SMS bancarios o administrativos registradas en los últimos meses por la prensa regional lo demuestran—. Pero el código QR ofrece a los estafadores algo que el SMS ya no les da: la ausencia total de filtro. Ningún operador puede analizar una pegatina.
Dónde se encuentran concretamente en Francia
Los avisos recibidos por las asociaciones de consumidores y los ayuntamientos dibujan una geografía bastante estable.
| Soporte manipulado | Pretexto mostrado | Lo que obtiene el estafador |
|---|---|---|
| Parquímetro, aparcamiento subterráneo | Pago del estacionamiento | Tarjeta bancaria, matrícula, identidad |
| Punto de recarga eléctrica | Inicio de la sesión de carga | Tarjeta bancaria, creación de cuenta |
| Bicicletas y patinetes de uso compartido | Desbloqueo rápido del vehículo | Datos bancarios |
| Cartel de coche compartido / anuncio clasificado | Contacto del vendedor | Credenciales de una plataforma |
| Carta en papel «oficial» | Regularización de un expediente, reembolso | Datos personales completos |
| Paquete recibido con un folleto «regalo» | Valoración a cambio de un vale de compra | Cuenta de tienda, suscripción oculta |
| Terraza de café, mesa de restaurante | Carta o pago de la cuenta | Tarjeta bancaria |
Dos variantes merecen una atención particular.
La falsa carta administrativa. Recibir una carta en papel sigue siendo, para muchos, una garantía de seriedad. Campañas que imitan a organismos públicos —seguridad social, cajas de jubilación, administración tributaria— sustituyen ahora la dirección web por un código QR, precisamente porque un código QR se falsifica con más facilidad de lo que un sitio institucional se verifica. Recordemos el principio que subraya Ameli: la Seguridad Social nunca solicita datos bancarios por mensaje ni por correo no solicitado para «desbloquear» un reembolso.
El «brushing» con folleto. Recibes un pequeño paquete que no has pedido, con una tarjeta que ofrece un regalo a cambio de una reseña. El código QR lleva a un formulario que recopila mucho más de lo necesario.
Lo que ocurre realmente después del escaneo
Contrariamente a una idea muy extendida, escanear un código QR no «hackea» un teléfono. El código solo contiene un dato: casi siempre una dirección web, a veces un número al que llamar, una red Wi-Fi, un texto o una orden de pago. El peligro viene de lo que haces después.
Predominan tres escenarios:
- La página de recopilación. Una copia muy fiel de un sitio de pago. Introduces tu tarjeta y esta va directamente a manos del estafador o, aún más retorcido, sirve para validar una suscripción recurrente de unos pocos euros a la semana, con un importe deliberadamente bajo para pasar por debajo de tu umbral de atención en el extracto.
- La llamada activada. El código codifica un número de tarificación especial; el dispositivo propone llamar y basta un segundo de despiste. Es la mecánica del wangiri trasladada al soporte físico.
- La instalación fuera de la tienda oficial. Una página te invita a instalar una «aplicación de estacionamiento» mediante un archivo descargado directamente. En Android, aceptar una instalación desde una fuente desconocida abre la puerta a un software capaz de interceptar tus SMS, es decir, tus códigos de validación bancaria.
El tercer caso es el más grave, porque transforma un robo puntual en un acceso duradero. Es también el único que exige varias confirmaciones explícitas por tu parte: otros tantos momentos en los que todavía puedes decir que no.
Una regla sencilla para recordar: un código QR legítimo nunca te pide instalar nada fuera de la App Store o de Play Store. Nunca.
Los seis reflejos que bastan para librarte
1. Tocar antes de escanear
El gesto más eficaz no cuesta nada: pasa el dedo por el código QR. Una pegatina colocada encima se nota: borde ligeramente despegado, grosor, brillo distinto al del soporte, ángulo mal alineado, logotipo pixelado. En un parquímetro o en un punto de recarga, fíjate también en si el código tapa parcialmente alguna información (número de serie, aviso legal). Un operador oficial nunca oculta sus propias inscripciones.
2. Leer la dirección antes de abrir
Todos los teléfonos recientes muestran la URL en vista previa antes de abrir la página. Tómate los dos segundos necesarios. Lo que cuenta es la palabra justo antes de la primera /: ese es el dominio real. paiement.ville-de-lyon.fr/parking es plausible; ville-de-lyon.paiement-securise-fr.co/parking no lo es en absoluto, aunque empiece bien.
Si te cuesta leer la pantalla en el exterior, a pleno sol o con gafas progresivas, no es un detalle de comodidad: es un factor de riesgo. Un filtro antirreflejos para smartphone mejora claramente la legibilidad a plena luz y, de forma indirecta, tu capacidad de verificar una dirección antes de hacer clic.
3. Rechazar el atajo cuando existe una alternativa
Casi siempre hay un camino que no se puede manipular:
- para el estacionamiento, la aplicación oficial de la ciudad instalada desde la tienda de aplicaciones, o sencillamente monedas y la tarjeta insertada en el parquímetro;
- para un organismo público, escribir manualmente la dirección conocida (ameli.fr, impots.gouv.fr, agirc-arrco.fr) en el navegador;
- para un banco, la aplicación ya instalada, nunca un enlace recibido.
El principio es constante: nunca sigas un camino que te han tendido; toma el que ya conoces.
4. Compartimentar el pago
Muchos fraudes con código QR no dan nada porque la tarjeta utilizada está vacía. Ese es el papel de las tarjetas virtuales de un solo uso que ofrecen la mayoría de los bancos franceses, o de una tarjeta prepago recargable reservada a los pagos sobre el terreno: estacionamiento, recarga, compras en movilidad. El límite reduce mecánicamente los daños, y una suscripción oculta no puede cobrar lo que no existe.
5. Blindar el dispositivo de antemano
Dos ajustes, de una vez por todas:
- en Android, dejar desactivado el permiso para instalar aplicaciones desde fuentes desconocidas (Ajustes → Aplicaciones → Acceso especial);
- tanto en iPhone como en Android, activar la protección contra sitios fraudulentos en los ajustes del navegador.
Para quienes manipulan el móvil en la calle, a menudo con las manos ocupadas, una funda con tarjetero integrado evita sacar a la vez el teléfono y la cartera en plena acera: el contexto típico en el que se escanea deprisa y mal.
6. Denunciar, siempre
Una pegatina fraudulenta sigue en su sitio mientras nadie la retire. Tres gestos útiles:
- despegar el código QR falso si se trata visiblemente de un añadido, o fotografiarlo;
- avisar al responsable: ayuntamiento, servicio de estacionamiento, operador del punto de recarga, dueño del comercio;
- denunciar la página en la plataforma Cybermalveillance.gouv.fr, y el SMS asociado al 33700 cuando un mensaje ha precedido o seguido al escaneo.
Si ya se ha efectuado un pago, bloquea la tarjeta de inmediato y después presenta denuncia. La directiva europea sobre servicios de pago (PSD2), transpuesta al derecho francés, regula el reembolso de las operaciones no autorizadas: tu banco debe reembolsar una operación que no hayas autorizado, salvo que demuestre una negligencia grave por tu parte. De ahí la importancia de conservar las pruebas: foto de la pegatina, captura de la página, fecha y hora.
El caso particular de las personas mayores y los públicos vulnerables
El quishing golpea especialmente a quienes adoptaron el smartphone tardíamente. A menudo han interiorizado una consigna simplificada —«no hagas clic en los enlaces»— sin que el código QR entre en esa categoría mental. Para muchos, escanear no es hacer clic.
Algunas medidas de acompañamiento que funcionan:
- reformular la consigna en términos de destino y no de soporte: «nunca se paga desde un código expuesto en la calle, se paga desde una aplicación que uno mismo ha instalado»;
- instalar juntos las dos o tres aplicaciones realmente útiles (estacionamiento, transporte, banco) para eliminar la necesidad de escanear nada;
- aumentar el tamaño de la letra y el contraste para que la vista previa de la dirección sea legible;
- para un familiar muy reacio a la tecnología, asumir un uso mínimo: un teléfono para mayores con teclas grandes sin navegador cierra la puerta a la totalidad de estos ataques, lo que sigue siendo una opción perfectamente legítima.
Un libro de divulgación sobre ciberseguridad, dejado sobre la mesa de centro, suele surtir más efecto que una explicación oral de diez minutos: la lectura al propio ritmo evita esa sensación de infantilización que bloquea tantas conversaciones familiares sobre el tema.
Lo que distingue un código QR legítimo de una trampa
| Señal | Legítimo | Sospechoso |
|---|---|---|
| Soporte | Impreso en el propio material, grabado, integrado en el mobiliario | Pegatina añadida, superpuesta |
| Dominio mostrado | Nombre del organismo antes de la primera / | Nombre del organismo como subdominio o con guion |
| Solicitud | Importe, matrícula, sesión | Tarjeta + documento de identidad + número fiscal |
| Instalación | Redirección a la App Store / Play Store | Descarga directa de un archivo |
| Urgencia | Ninguna | Cuenta atrás, «oferta válida 15 minutos» |
| Alternativa | Pago clásico disponible | El código QR se presenta como el único medio |
El último criterio es probablemente el más revelador. Una institución nunca elimina todos los demás canales. Cuando un soporte te explica que escanear es la única vía posible, es que se busca impedirte verificar en otro sitio.
El fondo del problema no es técnico
El quishing no se basa en ninguna proeza informática. Se apoya en un hábito colectivo instalado en pocos años: el de confiar en un soporte físico porque está ahí, visible, en el espacio público. Hemos aprendido a desconfiar de lo que llega a nuestra pantalla sin haberlo pedido —SMS, correos, llamadas—, pero no de lo que está pegado en un poste en la calle.
La buena noticia es que la defensa exige menos esfuerzo que frente al SMS fraudulento. Un enlace recibido por mensaje debe analizarse mentalmente en un segundo. Un código QR, en cambio, se toca con el dedo. La prueba más fiable contra esta estafa de 2026 es también la más antigua del mundo: comprobar con la mano si algo ha sido pegado encima de otra cosa.
Y si necesitas avisar rápidamente a un ser querido de una estafa detectada en tu barrio, un mensaje corto y claro sigue siendo la herramienta más eficaz, mucho más que un largo mensaje de voz o una captura de pantalla ilegible. Una frase, un lugar, un consejo. A menudo es todo lo que faltaba para evitar el escaneo de más.
