Publicado el 1 noviembre 2026 · Equipo mitza.es
Los códigos QR están en cartas de restaurante, parquímetros, carteles, paquetes y facturas. Son cómodos precisamente porque no hay que teclear nada, y esa comodidad es lo que explotan los estafadores. El QRishing (también llamado quishing) consiste en usar un código QR para llevar a la víctima a una web falsa que imita a una entidad real y le pide datos bancarios, contraseñas o un pago. Este verano la Policía Nacional y la OCU han reforzado sus avisos. Esta guía resume lo que dicen y lo aplica a un negocio con clientes.
Qué es el QRishing y por qué funciona
Un código QR es una imagen que contiene una dirección web (u otro dato). A simple vista no se distingue un QR legítimo de uno falso, y la gente escanea sin pensar. El estafador solo necesita colocar su código donde tú esperas uno de confianza, o enviarte uno con una excusa urgente. Funciona por dos motivos: no vemos la dirección antes de abrirla y se usa en contextos de prisa (una multa, un paquete que no se ha podido entregar, una mesa en la que quieres pedir ya).
Los fraudes que están detectando las autoridades
- Falsas multas en el parabrisas: pegatinas o papeles con un QR que imitan avisos de tráfico o de aparcamiento. La OCU alertó en julio de 2026 de estas pegatinas y de que el enlace lleva a una web clonada que pide datos bancarios. Maldita.es documenta casos de falsas multas con QR en varios ayuntamientos españoles desde noviembre de 2024.
- Avisos de paquetería y otros mensajes urgentes: la Policía Nacional insiste en que el riesgo aumenta cuando el código aparece en situaciones que generan prisa.
- QR superpuestos en establecimientos: pegatinas sobre el código real de una carta, un cartel o un terminal de pago. El Ministerio del Interior recoge el consejo de la Guardia Civil: si el QR de pago de un restaurante te redirige a una web sospechosa, consulta directamente con el establecimiento.
Qué recomiendan las autoridades a quien escanea
- Desconfía de los códigos que aparecen donde no los esperabas o con un mensaje urgente.
- Desactiva la apertura automática de enlaces al escanear y comprueba la dirección antes de entrar.
- No introduzcas contraseñas, datos bancarios ni información personal si la web no te inspira confianza o pide demasiados permisos.
- Mantén actualizados el sistema y las aplicaciones, y descarga apps solo de tiendas oficiales.
- Si ya has dado datos: llama al banco para bloquear la tarjeta, denuncia ante la Policía Nacional o la Guardia Civil, guarda capturas y el enlace, y avisa al INCIBE en el 017 (también por WhatsApp en el 900 116 117).
Por qué esto también es un problema de tu negocio
Si tu empresa usa códigos QR, eres un posible escenario de la estafa: alguien puede pegar su QR sobre el tuyo y cobrar a tus clientes, o enviarles un correo que imita al tuyo con un QR falso. El cliente estafado no distingue entre el delincuente y tu marca, y la reputación que se daña es la tuya. Por eso conviene protegerlos igual que proteges un cartel de precios.
Cómo usar códigos QR en tu negocio con seguridad
- Apunta a tu propio dominio. Usa una dirección corta y reconocible de tu web (tuweb.es/carta) en lugar de un enlace acortado de terceros que no controlas.
- Prefiere códigos estáticos que contengan directamente la dirección: no dependen de un servicio que pueda caducar, cobrar o ser manipulado. Puedes crearlos con nuestro generador de códigos QR gratuito, que funciona en tu navegador y comprueba que el código se lee.
- Escribe la dirección debajo del QR. Quien desconfíe podrá teclearla a mano.
- Haz el QR difícil de tapar: imprímelo directamente sobre la carta o el cartel y revisa periódicamente que no haya pegatinas encima, sobre todo en mesas, mostradores y escaparates.
- Evita QR en cartas y avisos de cobro urgente. No pidas nunca datos de tarjeta escaneando un código que llegue por correo o buzón.
- Haz que tu marca sea consistente. Un QR con tu logo y colores ayuda a reconocerlo, aunque por sí solo no impide que alguien lo falsifique.
- Mide los escaneos. Si añades parámetros UTM al enlace con el generador de UTM, verás cuántas visitas trae cada QR y notarás si de pronto cae el tráfico de uno (señal de que puede haber sido sustituido).
Qué hacer si descubres que alguien ha falsificado tu QR
- Retira el código falso y haz fotos antes de hacerlo (sirven como prueba).
- Denuncia ante la Policía Nacional o la Guardia Civil y avisa al INCIBE (017).
- Informa a tus clientes por tus canales oficiales de cómo reconocer tu código auténtico.
- Pide la retirada de la web falsa al proveedor de alojamiento y al registrador del dominio, y repórtala como sitio de phishing.
- Revisa que tu propia web y tus correos estén bien protegidos para que no se usen contra ti.
Protege también los correos que envías
Un QR falso suele llegar acompañado de un correo que suplanta a una empresa. Si tu dominio no tiene configurados SPF, DKIM y DMARC, es más fácil que alguien envíe mensajes en tu nombre. Tienes los pasos en nuestra comparativa de Google Workspace y Microsoft 365, y el contexto de cómo evolucionan los fraudes con IA en el artículo sobre el phishing con IA y deepfakes. Si cobras con Bizum o recibes transferencias, lee también la estafa del Bizum inverso.
Cuidado con la campaña de compras
En épocas de muchas compras online, como Black Friday, aumentan los intentos de suplantación de tiendas. Hemos reunido las medidas específicas en nuestra guía sobre las estafas de Black Friday que suplantan tu tienda.
Cómo te ayudamos en Mitza
Te ayudamos a revisar dónde usas códigos QR, a que apunten a tu dominio y a medir su rendimiento, y a proteger tu web y tu correo para que nadie pueda usar tu marca contra tus clientes. Mira el servicio de mantenimiento informático o escríbenos desde la página de contacto.