El código QR de la multa que tienes pegada en el parabrisas puede ser el robo, no la infracción

Llegas a tu auto y hay un papel bajo el limpiaparabrisas: parece una notificación oficial de tránsito, con un código QR para "ver el detalle de la infracción" o "pagar en línea". Ese código QR puede ser la estafa completa, de principio a fin. Es la versión física de una técnica que, según Microsoft, creció 146% en un solo trimestre en su versión digital: el quishing, phishing que usa un código QR en lugar de un link de texto.

Por qué un QR engaña mejor que un link

Un link de texto malicioso puede analizarse: los filtros de correo leen la URL, la comparan contra listas negras, revisan el dominio. Un código QR es una imagen — para leer lo que hay adentro, primero hay que decodificarlo, y algunos sistemas de seguridad no hacen ese paso extra de forma automática (explicación general, no de las fuentes citadas). El resultado es que la misma URL maliciosa que un filtro bloquearía si viniera como texto, pasa sin problema si viene escondida dentro de un cuadrito de píxeles en blanco y negro.

La versión digital: por qué explotó tan rápido

Microsoft documentó en su reporte de amenazas por correo del primer trimestre de 2026 que el phishing con códigos QR pasó de 7.6 millones de intentos detectados en enero a 18.7 millones en marzo — un salto del 146% en solo dos meses, el volumen mensual más alto que había registrado en al menos un año. La mayoría de estos QR maliciosos no llegaban pegados directo en el cuerpo del correo, sino escondidos dentro de archivos adjuntos: 70% en PDF y 24% en documentos de Word, formatos que, en general, algunos filtros inspeccionan con menos profundidad que el texto plano de un email.

La versión física: el mismo truco, sin necesidad de hackear nada

Lo que advirtieron en abril de 2026 municipalidades de Costa Rica (según The Tico Times, entre ellas las de San Carlos y Pérez Zeledón) es la versión que no necesita ni una sola línea de código: alguien imprime un aviso que imita una boleta de infracción de estacionamiento, con un código QR para "ver la multa", y lo deja bajo el limpiaparabrisas de autos estacionados. La víctima, creyendo que tiene una infracción real, escanea el código y termina en una página fraudulenta diseñada para robar datos de pago u otra información personal, para "liquidar" una multa que nunca existió.

La organización de consumidores española OCU alertó del mismo patrón meses después (según recoge Qué.es), con una frase que resume el riesgo real: "te pueden vaciar toda la cuenta" — porque a diferencia de un link sospechoso que quizás dudarías en abrir en tu computadora, un papel bajo el parabrisas con membrete oficial no dispara las mismas alertas mentales, y escanear un QR se siente como un gesto inofensivo, casi automático.

Por qué te cuesta más detectar el engaño en un QR

• No puedes "pasar el mouse por encima" para previsualizar la URL antes de hacer clic, como sí puedes con un link de texto.
• El diseño físico copia códigos de confianza reales — el mismo formato, tipografía y colores que usaría el organismo real, algo que cualquiera puede replicar con una impresora.
• La urgencia hace el resto: una supuesta multa de tránsito, igual que un "retiro bloqueado" o una "cuenta suspendida", empuja a actuar rápido antes de pensar dos veces.

Cómo protegerte

• Evita abrir links automáticamente al escanear QR. En iPhone: Ajustes > Cámara, desactiva «Escanear códigos QR» si prefieres no escanear nada por accidente. En Android: en los ajustes de Google Lens, desactiva la apertura automática de URLs — así puedes revisar el link completo antes de decidir si confías en él.
• Desconfía de cualquier cobro de multa que solo te ofrezca un QR pegado en el auto. Verifica cualquier infracción directo en el sitio oficial del organismo, escribiendo la dirección tú mismo — nunca a través del código que encontraste en el parabrisas.
• Al igual que con las multas de tránsito falsas por SMS que ya documentamos, sé igual de desconfiado con un QR en un correo, un PDF adjunto o un menú de restaurante que con un link sospechoso: la desconfianza tiene que aplicar al formato, no solo al contenido.
• Si ya escaneaste uno de estos códigos y diste datos bancarios, contacta a tu banco de inmediato para bloquear la cuenta, y levanta la denuncia correspondiente ante la autoridad de tu país.

Si te dejaron uno de estos stickers falsos en tu auto, o recibiste un QR sospechoso por correo, mándanos la evidencia por el canal de alertas — nos ayuda a mapear qué tan extendida está esta modalidad en la región.

Corrección (4 de octubre de 2026): una versión anterior decía que en Costa Rica se pegaban "stickers" de QR sobre avisos de "multa de tránsito" que llevaban a un "sitio clonado" del portal de tránsito. The Tico Times habla de avisos falsos de infracción de estacionamiento con un QR que lleva a una página fraudulenta, y las alertas fueron de municipalidades. También ajustamos la cita de la OCU ("te pueden vaciar toda la cuenta", según Qué.es) y la instrucción para iPhone.