Riesgos de seguridad del QR y cómo comprobar uno
Un código QR es un enlace que no puedes leer. Esa es toda la superficie de ataque.
Los cuatro riesgos reales
| Riesgo | Cómo funciona | Qué comprobar |
|---|---|---|
| Phishing (quishing) | El código lleva a un login clónico | Lee el dominio carácter a carácter |
| Pegatinas superpuestas | Pegan un código falso sobre el real | Busca el borde levantado o una impresión distinta |
| Desvío de pagos | Cambian el código en el punto de pago | Compáralo con el que muestra el comercio |
| Distribución de malware | El código lleva a un APK o perfil | No instales nada desde un QR |
Punycode y dominios parecidos
Algunos caracteres de alfabetos no latinos son idénticos a letras latinas. Un dominio registrado con ellos se muestra como la palabra familiar pero resuelve en otro sitio. Los navegadores muestran esos dominios en forma punycode —la que empieza por xn--- precisamente para que destaquen.
Si el host de una URL empieza por xn--, trátalo como sospechoso hasta que se demuestre lo contrario. No hay razón habitual legítima para que un enlace de consumo se vea así.
Hábitos que sí ayudan
- Mira el dominio, no el diseño. Una copia perfecta de un login es barata.
- No introduzcas una contraseña en una página a la que llegaste escaneando un código en un lugar público.
- Prefiere una app de pago que abriste tú antes que un código que promete un descuento.
- En cartas de restaurante, un código que pide datos de tarjeta no es una carta.
Preguntas frecuentes
¿Escanear un QR puede instalar malware por sí solo?
No. Un QR solo transporta texto. El riesgo está en lo que hace ese texto cuando actúas: abrir una página maliciosa o instalar un archivo requiere tu confirmación.
¿Qué es un dominio punycode?
Un dominio escrito con caracteres no ASCII, que el navegador muestra como xn-- más una cadena codificada. Puede usarse para imitar una marca conocida.
¿Es seguro escanear el QR de un cartel?
Escanear es seguro. Antes de introducir algo, confirma que el dominio corresponde a la organización esperada y desconfía de cualquier código que pida pago o credenciales.