Esto significa que el código que vemos pegado en una mesa, una pared o un parquímetro no es en sí mismo la página que queremos visitar. Funciona más bien como una puerta que contiene las instrucciones para llegar hasta ella. Al escanearlo, el teléfono interpreta esa información y, cuando se trata de una dirección web, normalmente nos muestra una vista previa o una notificación antes de abrirla. Esa pequeña pausa es más importante de lo que parece, porque nos permite observar el destino antes de entrar. En mayo de 2026, la Secretaría de Seguridad y Protección Ciudadana de México advirtió sobre el uso de códigos QR falsificados capaces de redirigir a páginas fraudulentas diseñadas para obtener contraseñas, información personal o datos bancarios. La dependencia señaló que estos códigos pueden encontrarse en espacios públicos, restaurantes, parquímetros, anuncios e incluso llegar mediante mensajes o correos electrónicos.
UNA CALCOMANÍA PUEDE CAMBIAR EL DESTINO
Uno de los métodos más sencillos para manipular un código QR no requiere modificar ninguna aplicación ni intervenir sofisticados sistemas informáticos. En algunos casos basta con imprimir otro código y colocarlo encima del original. Imaginemos un parquímetro que legítimamente permite pagar mediante QR. Una persona coloca una calcomanía prácticamente idéntica sobre el código verdadero. El conductor llega, encuentra exactamente lo que esperaba encontrar, lo escanea y abre una página que incluso puede parecerse a la plataforma oficial. La confianza no surge porque conozca el sitio, sino porque el código estaba colocado en un lugar donde parecía lógico encontrarlo. La CONDUSEF ha advertido en México sobre esta modalidad, conocida como quishing, una combinación de las palabras QR y phishing. El objetivo es aprovechar la confianza que genera el contexto para dirigir al usuario hacia páginas fraudulentas y conseguir que proporcione información financiera, credenciales u otros datos personales. Lo interesante es que el código no necesita parecer sospechoso. Puede estar perfectamente impreso, utilizar los colores adecuados y encontrarse justo donde esperaríamos verlo. Por eso una de las primeras señales que podemos observar es física: si se trata de un QR colocado en un espacio público, vale la pena mirar si parece una etiqueta añadida posteriormente, si está despegándose o si existe otro código debajo.
UNA PÁGINA FALSA PUEDE PARECER VER- DADERA
El siguiente paso ocurre en la pantalla. Las páginas utilizadas para engañar no necesariamente están llenas de errores evidentes. Pueden copiar logotipos, tipografías, colores y estructuras visuales de empresas conocidas. Algunas incluso reproducen formularios de inicio de sesión o pantallas de pago casi idénticas a las originales. Ahí la dirección web se convierte en una pista importante. Una letra modificada, una palabra añadida o un dominio diferente pueden ser suficientes para que una página visualmente convincente no pertenezca realmente a la institución que dice representar. La SSPC recomienda revisar el enlace antes de abrirlo y evitar proporcionar información sensible cuando el origen del código no pueda verificarse. Esto también explica por qué reconocer un logotipo no es suficiente. Internet nos acostumbró a identificar las páginas por su apariencia, cuando en realidad copiar una imagen o los colores de una marca puede ser mucho más sencillo que controlar su dominio oficial.
Aprendiendo 62