QR sospechoso: verifica el destino antes de dar tus datos

El cartel parece oficial, pero eso no basta

Imagina que llegas a un aparcamiento y encuentras un QR para pagar. La página que propone abrir el teléfono muestra un logotipo conocido y un formulario convincente. Antes de introducir datos, detente: el aspecto del cartel y el de la web no prueban que el destino pertenezca al operador. La FTC documenta casos de códigos cubiertos por pegatinas con otro QR y explica que pueden conducir a páginas de suplantación. No hace falta atribuir el incidente a una ciudad concreta para aplicar la comprobación.

Esta guía separa tres revisiones: el soporte físico, la dirección que aparece al escanear y la relación del destino con la organización que esperas. WikiURL puede aportar información sobre la respuesta de una URL pública y su destino final. Esa información no identifica al dueño de una pegatina ni garantiza que una página sea legítima. Si ya sospechas de un enlace, no necesitas visitarlo para pagar: puedes detenerte y utilizar un acceso independiente al servicio.

Lee la dirección completa, no solo un nombre familiar

Si tu lector permite mostrar la URL antes de abrirla, usa esa vista previa. Busca cambios de letras y un dominio distinto al esperado. MDN explica que el phishing puede imitar una web conocida en un dominio parecido. En los ejemplos ficticios, el segundo nombre de host no es el primero aunque empiece con las mismas palabras. Son direcciones inventadas para leer su estructura; no las abras ni las uses como servicios de pago reales.

Compara con una dirección oficial obtenida por otra vía, como un marcador que ya utilizabas o la web del operador confirmada de forma independiente. No conviertas una palabra como parking, seguro o pago en prueba de identidad. Si la vista previa recorta el dominio, no adivines el resto. Tampoco decidas únicamente por la extensión: un dominio de aspecto habitual puede alojar una suplantación. Lo importante es verificar la coincidencia con el servicio esperado, no premiar un nombre que suene convincente.

https://parking.example.invalid/pago
https://parking.example.invalid.otro.invalid/pago

Comprueba el soporte y busca una alternativa conocida

Mira si hay una pegatina que cubre otra impresión o presenta bordes levantados. Es una señal para detenerse y preguntar, no una prueba concluyente por sí sola: un operador legítimo también puede utilizar etiquetas. Si algo no encaja, pide al personal que confirme el procedimiento o entra al servicio mediante una aplicación o dirección que ya hayas verificado. No utilices como única confirmación un teléfono publicado en la misma pegatina sospechosa.

La FTC aconseja contactar con la empresa por un número o sitio que sepas que es real cuando recibas una solicitud inesperada. Aplica ese principio al cartel: necesitas una segunda vía que no dependa del objeto cuestionado. En un aparcamiento, comprueba con el operador cómo registrar el estacionamiento correctamente. Esta guía no afirma que cualquier QR sea fraudulento ni que abrir una aplicación desconocida resuelva el problema. La alternativa también debe corresponder al servicio auténtico.

Qué puedes comprobar con WikiURL y qué queda fuera

Si dispones de una URL pública sin datos privados, puedes copiarla en el comprobador de URL de WikiURL y revisar el estado HTTP y el destino final. Un cambio de dominio puede justificar nuevas preguntas al operador. Conserva la dirección observada para compararla con la referencia independiente. No introduzcas contraseñas, enlaces privados de gestión, tokens de acceso ni información de una operación personal en una comprobación pública.

Una respuesta 200 describe una petición satisfactoria, no un certificado de honestidad. Una página fraudulenta también puede responder. Además, la consulta se hace desde el servidor de WikiURL y el comportamiento puede diferir del de tu teléfono. El comprobador no decide si debes pagar, no verifica la identidad de quien imprimió el QR y no sustituye un análisis de fraude o malware. Si la URL plantea dudas, prioriza la vía independiente; la revisión técnica es una ayuda limitada, no una autorización para continuar.

HTTPS y los códigos de verificación no resuelven la identidad

HTTPS protege la conexión frente a ciertos ataques sobre el tránsito, como explica MDN, pero no convierte automáticamente al sitio en el operador que buscas. Una página que imita otra puede tener una conexión cifrada. Revisa la dirección y el procedimiento incluso cuando el navegador muestre una conexión protegida. El logotipo, la apariencia profesional y la ausencia de un error HTTP tampoco completan esa verificación.

No entregues contraseñas ni códigos de un solo uso a una página cuya identidad no has confirmado. MDN describe ataques que retransmiten esos códigos, por lo que pedir un segundo factor no demuestra legitimidad. Si el QR induce a instalar algo o actuar con urgencia inesperada, detén el proceso y confirma la solicitud por el canal conocido. Mantén actualizado el teléfono, como recomienda la FTC, sin tratar las actualizaciones como una garantía contra el engaño.

Si ya has interactuado, actúa por el canal auténtico

Distingue lo que ocurrió: ver una dirección no es lo mismo que escribir una contraseña, facilitar una tarjeta o instalar un archivo. Si compartiste credenciales, accede a la cuenta desde su dirección conocida para cambiarlas y revisa sus opciones de seguridad. Si facilitaste datos de pago, contacta con tu proveedor por su canal oficial para explicar lo ocurrido. No vuelvas a la página dudosa para pedir ayuda ni aceptes otra solicitud inesperada que prometa arreglarlo.

Guarda la URL, la fecha y una fotografía del cartel cuando sea posible, sin difundir datos sensibles ni el QR como invitación a usarlo. Comunica la sospecha al operador y busca ayuda oficial adecuada a tu país; INCIBE ofrece información sobre phishing. No prometas recuperar dinero ni declarar seguro un dispositivo desde una comprobación de enlace. Tu criterio práctico es claro: confirmar por una vía independiente antes de entregar datos, y conservar evidencia útil si ya hubo una interacción.