Un código QR puede llevar a la carta de un restaurante, una entrada, una red wifi, un formulario o un pago. El móvil lo descifra en un instante, pero leer el código y aceptar lo que propone son dos decisiones distintas. Esa pequeña pausa entre ambas es la mejor medida de seguridad.
No hace falta instalar un lector cualquiera ni entender cómo se construye el dibujo. En la mayoría de los teléfonos actuales basta con la cámara que ya viene en el sistema. Lo importante es encuadrar bien, mirar la vista previa y comprobar que el destino coincide con lo que esperabas antes de tocarlo.
La forma más sencilla: usa la cámara del teléfono
El procedimiento básico es casi idéntico en iPhone y Android:
- abre la aplicación Cámara del propio teléfono;
- selecciona el modo Foto si la cámara está en vídeo, retrato u otro modo;
- coloca el código entero dentro del visor, sin necesidad de hacer una foto;
- espera a que aparezca un aviso, una tarjeta o un enlace;
- lee esa vista previa y tócala solo si el destino tiene sentido.
En un iPhone, Apple indica que también se puede usar el control «Escanear código» del centro de control. Si no aparece, se puede añadir al personalizar los controles. La guía oficial de Apple recomienda además encender la linterna desde el escáner cuando falte luz.
En Android, el aspecto cambia según la marca, la versión y la aplicación de cámara. En muchos modelos, la cámara integrada muestra un banner al apuntar al QR. Algunos incluyen además «Escanear código QR» entre los ajustes rápidos o recurren a Lens desde la propia cámara. La ayuda de Google documenta el escaneo con la cámara integrada a partir de Android 9; la disponibilidad exacta puede variar por fabricante.
Conviene empezar por estas funciones del sistema. Instalar una aplicación adicional solo para leer un QR añade otro programa con permisos y tratamiento de datos. Si un teléfono antiguo realmente necesita una, revisa quién la publica, su política de privacidad, las valoraciones recientes y los permisos que solicita. Un lector no necesita tus contactos, SMS ni ubicación para descifrar un cuadrado impreso.
Si el código no se reconoce, no lo persigas a centímetros
Un QR puede seguir siendo legible aunque tenga un pequeño arañazo, pero la cámara necesita ver su forma completa y distinguir bien los módulos claros y oscuros. Cuando no aparece ningún aviso, prueba estos ajustes en este orden:
- limpia la lente con una gamuza suave; una huella puede impedir el enfoque;
- busca luz uniforme y evita que tu mano proyecte una sombra sobre el código;
- mantén el teléfono paralelo al papel o a la pantalla, no muy inclinado;
- empieza aproximadamente a unos 30 centímetros y acércate poco a poco;
- si el QR está en otra pantalla, aumenta su brillo y evita reflejos;
- comprueba que el código entero cabe dentro del visor y que no está excesivamente recortado;
- prueba el escáner de los ajustes rápidos o Lens si la cámara habitual no lo reconoce.
La distancia exacta depende del tamaño del código y de la cámara. Acercarse demasiado puede desenfocar y ocultar sus bordes; alejarse demasiado hace que ocupe pocos píxeles. Mover el móvil lentamente suele funcionar mejor que agitarlo buscando un punto mágico.
Si el establecimiento, billete o dispositivo ofrece un código manual, una dirección escrita o un número de serie, úsalo como alternativa. No hay ninguna ventaja de seguridad en insistir con un QR deteriorado cuando existe una vía oficial que puedes verificar.
Antes de tocar: qué debes mirar en la vista previa
Un código QR no tiene reputación visible. Dos cuadrados casi idénticos pueden contener direcciones completamente distintas, y una pegatina puede cubrir el original de una mesa, un parquímetro o un cartel. Por eso la procedencia física ayuda, pero no sustituye la comprobación del enlace.
Mira estas cuatro cuestiones:
¿La acción era la esperada? Si querías consultar un menú, debería aparecer una dirección web relacionada con el restaurante, no una petición para instalar una app, conectarte a una red desconocida o iniciar un pago. Si escaneabas una entrada, que aparezca una solicitud de acceso a tu cuenta es una señal para detenerse.
¿Reconoces el dominio? Lee el nombre del sitio despacio. Los engaños emplean letras intercambiadas, palabras añadidas o dominios que solo incluyen la marca en una parte secundaria. Ante una gestión sensible, compara la dirección con la que figura en la aplicación oficial, en una factura auténtica o en la web que escribas tú mismo.
¿La dirección está acortada u oculta? Un enlace corto impide saber el destino final desde la vista previa. Puede ser legítimo, pero obliga a confiar en quien colocó el código. Si no puedes verificarlo por otra vía, no lo abras.
¿Hay urgencia o premio desproporcionado? «Paga ahora para evitar una multa», «confirma tu cuenta» o «premio solo durante dos minutos» buscan que actúes antes de pensar. El QR solo es el envoltorio; el mecanismo es la presión propia de la ingeniería social.
El candado y https:// son convenientes porque cifran la conexión, pero no demuestran que una página pertenezca a la entidad que dice representar. Un sitio fraudulento también puede usar HTTPS. La identidad del dominio y la coherencia de la acción pesan más que el icono del candado.
No todos los QR contienen una página web
El aviso del teléfono puede proponer distintas acciones según la información codificada. Trátalas con el mismo criterio que aplicarías si alguien te las enviara por mensaje:
- conectarse a una red wifi: verifica el nombre con el personal o el propietario; una red con un nombre familiar no acredita quién la gestiona;
- guardar un contacto: revisa teléfono, correo y web antes de incorporarlo a la agenda;
- abrir una ubicación: confirma que el lugar coincide con el contexto;
- crear un correo o SMS: comprueba destinatario y texto antes de enviarlo;
- iniciar sesión o vincular un dispositivo: asegúrate de que tú comenzaste ese proceso en el otro equipo;
- pagar: abre la aplicación oficial del banco o del servicio y revisa comercio, importe y concepto antes de autorizar;
- descargar una aplicación o archivo: cancela si no lo esperabas. Busca la aplicación por tu cuenta en la tienda oficial en vez de aceptar una descarga directa.
Esta distinción importa porque a veces se dice que «escanear un QR infecta el móvil». Por lo general, enfocar el dibujo se limita a leer sus datos y mostrar una propuesta. El riesgo suele aparecer al abrir el destino, conceder un permiso, instalar algo, introducir credenciales o aprobar una operación. Aun así, mantener el sistema y el navegador actualizados reduce la exposición a fallos conocidos y merece formar parte de la rutina.
Una regla especial para contraseñas, pagos y datos personales
Si el QR conduce a una página que pide contraseña, datos bancarios, un código recibido por SMS, el DNI o una firma, detente aunque la página parezca impecable. Abre por separado la aplicación oficial o escribe la dirección que ya conoces. Si allí existe realmente una gestión pendiente, podrás completarla sin depender del código.
El Instituto Nacional de Ciberseguridad de España aconseja no facilitar datos privados ni contraseñas en páginas a las que se ha llegado mediante un QR y acceder al banco o a una tienda mediante su dirección completa o su aplicación. No significa que todos los pagos con QR sean fraudulentos: significa que una operación sensible necesita una comprobación adicional.
También conviene desconfiar de un QR pegado encima de otro, colocado de forma improvisada o acompañado de instrucciones para eludir la aplicación habitual. En un parquímetro, una máquina o la mesa de un local, pregunta al responsable si algo no encaja. Diez segundos de confirmación evitan entregar datos a una página que solo imita al servicio real.
¿Qué hacer si ya lo has abierto?
Abrir una página sospechosa no equivale automáticamente a haber perdido una cuenta. La respuesta depende de lo que hayas hecho después:
Si solo se abrió la web
Cierra la pestaña. No aceptes notificaciones, descargas, calendarios, perfiles de configuración ni permisos. Revisa la carpeta de descargas por si el navegador guardó algo y elimina el archivo sin abrirlo. Actualiza el sistema y el navegador si estaban pendientes.
Si introdujiste una contraseña
Entra en el servicio desde su aplicación o dirección oficial y cambia la contraseña. Si la reutilizabas, cámbiala también en las demás cuentas, empezando por el correo electrónico. Cierra sesiones desconocidas y activa la verificación en dos pasos o una clave de acceso cuando esté disponible. No uses enlaces enviados después por el supuesto soporte.
Si facilitaste datos bancarios o autorizaste un pago
Contacta de inmediato con tu banco mediante el número de su aplicación, su web oficial o el reverso de la tarjeta. Explica exactamente qué datos diste y qué operación aprobaste; la entidad indicará si debe bloquear la tarjeta, la banca electrónica o una transferencia. Conserva capturas, la dirección web y el justificante sin seguir interactuando con la página.
Si instalaste una app, un perfil o un archivo
Desconecta el dispositivo de la red si observas actividad extraña y no introduzcas más credenciales. Desinstalar una app puede no ser suficiente si concediste permisos especiales o instalaste un perfil. En España puedes pedir orientación gratuita y confidencial en el servicio 017 de INCIBE, que atiende a ciudadanía, empresas y menores todos los días.
La rutina de cinco segundos
No necesitas analizar cada QR como un especialista. Basta con convertir esta secuencia en un hábito:
- Enmarca el código con la cámara del sistema.
- Espera a la vista previa; no toques por reflejo.
- Relaciona la acción con el lugar y el motivo del escaneo.
- Lee el dominio o la operación propuesta.
- Cambia de vía —app oficial, dirección escrita o consulta al responsable— si hay datos, dinero o cualquier detalle extraño.
La utilidad del QR está precisamente en ahorrar pasos. La seguridad no exige renunciar a esa comodidad, sino recuperar uno de ellos: decidir conscientemente antes de abrir.
