Códigos QR trampa: cómo escanear sin caer en una web falsa o una suscripción que no pediste

Vas a escanear un código QR (la carta de un restaurante, un cartel, un parquímetro o un correo) y no sabes si puede llevarte a una web falsa o meterte en un lío.

Por Kike · revisada en octubre de 2026 · Nivel: Básico · Cómo verificamos

Por qué pasa (diagnóstico)

• Los ciberdelincuentes imprimen QR falsos y los pegan en paredes, carteles o tablones; al escanearlos te llevan a webs que roban datos personales o bancarios o que intentan instalar programas maliciosos.
• INCIBE cuenta un caso real (agosto de 2026): tras escanear el QR de la carta de un restaurante y aceptar una ventana de cookies, a una usuaria se le activó una suscripción de pago que no había pedido, y no tenía datos para darse de baja.
• También llegan por correo: un mensaje te pide escanear un QR «para verificar tu cuenta» o el doble factor y te lleva a un inicio de sesión falso.

Solución paso a paso

1. Antes de escanear, mira el QR: si está pegado encima de otro, despegado o estropeado, desconfía.
2. Desactiva en la cámara o el lector que los enlaces se abran solos; así ves la dirección antes de entrar.
3. Comprueba que la dirección coincide con la web oficial del sitio o servicio: atención a faltas, caracteres raros o dominios extraños. Si no lo ves claro, no entres.
4. No metas datos personales ni de pago en una web a la que hayas llegado por un QR salvo que estés totalmente seguro de que es auténtica. Si puedes, escribe tú la dirección o usa la app oficial.
5. Desconfía de los correos inesperados que te piden escanear un QR para «verificar» algo: bórralos.
6. Si ya te ha pasado: avisa al establecimiento, llama a tu banco para bloquear cargos, intenta cancelar la suscripción, guarda pruebas (capturas, el QR, extractos), denuncia y revisa los movimientos las semanas siguientes. Ayuda gratis en el 017 (ficha 017).
7. Mantén el móvil y las apps actualizados (ficha de actualizaciones).

Requisitos

• Móvil con cámara
• Cámara o lector de QR que muestre la dirección antes de abrirla

Compatibilidad

• Cualquier móvil Android o iPhone

Verificación

Documentado: resumen de las fuentes oficiales citadas (leídas el 19-oct-2026). No lo hemos probado aún en nuestro laboratorio, por eso no está marcado VERIFICADO.

Fuentes

• INCIBE — Caso real: suscripción premium no deseada tras escanear el QR del menú de un restaurante
• INCIBE — Códigos QR fraudulentos

Guías relacionadas

• Cómo reconocer un phishing (correo, SMS o mensaje falso)
• Actualiza: la protección más fácil que existe
• 10 cosas que proteger en casa (guía para novatos)
• Pon WPA3 (o al menos WPA2) en el Wi-Fi de casa
• Copias de seguridad antiransomware para novatos (regla 3-2-1)
• Separa los aparatos inteligentes: red de invitados o red IoT en tu router

Más guías de Ciberseguridad para novatos.