¿Son seguros los códigos QR? Qué pueden y qué no pueden hacer

Respuesta corta: el código en sí es inerte. Es un patrón que se descodifica en un texto, casi siempre una dirección web. No puede instalar software, ejecutar código ni leer nada del móvil que lo escaneó.

Lo que puede salir mal depende por completo del destino y de si el código que escaneaste es el que puso el dueño.

Lo que un QR no puede hacer físicamente

• No puede contener un virus. No hay nada que ejecutar: el texto descodificado va al sistema, que suele ofrecer «abrir este enlace».
• No puede instalar una app por sí solo. Puede llevarte a la ficha de la tienda; instalar sigue siendo tu acción.
• No puede leer contactos, fotos ni mensajes. Escanear no concede permisos.
• No puede hacer un pago. Puede abrir una página de pago; autorizar sigue siendo cosa tuya.
• No puede conectarte al wifi en silencio: el móvil pregunta antes.

Lo que sí puede salir mal

1. El destino es una página de phishing. Copia convincente de un banco, una empresa de paquetería o un pago de aparcamiento. El código solo es el medio de entrega.
2. El código no es del dueño. Una pegatina sobre la auténtica en un parquímetro, una carta o un cartel benéfico.
3. El destino pide lo que no debería. Credenciales, número de tarjeta, una app fuera de la tienda.

Escanear con cabeza, en la práctica

• Lee la dirección antes de tocar. Cualquier móvil moderno muestra la URL en una vista previa. Mira el dominio, no el resto.
• Desconfía primero del contexto físico. Pegatina sobre un código impreso, código en una farola, código pegado a un parquímetro.
• Nunca metas datos de pago o acceso en una página a la que llegaste escaneando un código de la calle.
• La urgencia es sospechosa. «Su paquete está retenido», «la multa se duplica mañana».
• El candado significa cifrado, no honesto. Las páginas de phishing también lo tienen.

Si los códigos son tuyos

• Usa un dominio reconocible. Un enlace corto en tu dominio hace evidente una pegatina falsa.
• Imprime la dirección bajo el código. Una línea, y el cuadrado misterioso pasa a ser una afirmación comprobable.
• Mira tu propia señalética. La manipulación es física y requiere una comprobación física.

Un código dinámico ayuda de una forma que se pasa por alto: si se abusa de un código o la página se ve comprometida, lo rediriges en segundos en lugar de mandar a alguien a cambiar impresos.

Qué le dice el escaneo al dueño sobre ti

«Seguro» también significa «qué se recoge». Aquí un escaneo registra la hora, qué código, el tipo de dispositivo, el sistema y el navegador según declara la petición, el referente si lo hay, y un hash con sal de la IP para contar visitantes únicos.

No se registra: tu identidad, tu número, tus contactos — ni ubicación alguna. Muchos servicios deducen el país de la IP; este no la recoge. Otros proveedores hacen otra cosa, y por eso la pregunta merece hacerse.

Respuestas rápidas

• ¿Un QR puede infectar el móvil? No: se descodifica en texto.
• ¿Puede robar datos al escanear? No: escanear no concede permisos.
• ¿Es seguro escanear uno en la calle? Escanear sí; confiar en el destino es la pregunta.
• ¿Cómo detecto uno manipulado? Una pegatina sobre otra, y el dominio tras escanear.
• ¿Son seguros los de los restaurantes? En general sí, con la misma comprobación.
• ¿Sabe el dueño quién soy? No: aquí ni identidad ni ubicación.