Cómo los atacantes pegan pegatinas sobre códigos QR legítimos

Un ataque de pegatina con código QR es desarmantemente sencillo: un delincuente imprime un código malicioso en una pegatina y la coloca sobre uno auténtico. No hace falta hackear nada — solo despegar y presionar. Como la falsificación se ve idéntica, las únicas defensas son notar la manipulación y leer el enlace. Aquí te explicamos cómo funcionan estos ataques de superposición y cómo frenarlos. 🐾

De todas las estafas con QR, la superposición con pegatina es la más física y la más silenciosamente eficaz. No hay ningún correo que filtrar, ningún software que explotar — solo un pequeño cuadrado adhesivo colocado donde la gente ya confía en el código que hay debajo. Para los estafadores es barato, rápido y difícil de rastrear. Para el resto de nosotros, la buena noticia es que un poco de atención rinde mucho.

¿Qué es un ataque de superposición de código QR?

Un ataque de superposición reemplaza un código QR legítimo por uno malicioso cubriéndolo físicamente. El atacante imprime su propio código — uno que enlaza a una página de phishing, un sitio de pago falso o una descarga maliciosa — en una pegatina, y luego la aplica directamente sobre el código real de un cartel, una máquina o un producto. Cualquiera que escanee obtiene el destino del atacante mientras cree que está usando el oficial.

Como el resultado es un enlace hostil, esto es una forma de quishing. La parte distintiva es la entrega: la trampa se coloca en el mundo físico, sobre algo en lo que ya confías.

La genialidad y la debilidad del ataque de pegatina son la misma cosa: ocurre a plena vista. Cualquiera puede colocar una — y cualquiera que preste atención puede detectarla.

¿Dónde ocurren los ataques de pegatina?

Los ataques de superposición prefieren códigos que sean públicos, estén desatendidos y se espere que se escaneen:

Objetivo	Por qué se elige
Parquímetros y máquinas de pago	Desatendidos, el escaneo para pagar es normal, la gente tiene prisa
Puntos de carga de coches eléctricos	Ubicaciones aisladas, se espera el pago
Mesas y cartas de restaurante	Los códigos sueltos son fáciles de intercambiar sin que se note
Carteles y folletos	Paredes públicas; una pegatina se mezcla con un diseño recargado
Señalización de transporte e información	El contexto oficial de confianza presta una credibilidad falsa
Embalaje de productos en estanterías	Códigos falsos de "registra tu producto" o "descuento"

El estacionamiento es un objetivo tan frecuente que le dedicamos su propia guía: códigos QR falsos en parquímetros y otras estafas reales.

¿Cómo puedo detectar un código cubierto con una pegatina?

La manipulación suele dejar rastros sutiles. Antes de escanear un código en un lugar público, tómate dos segundos para mirarlo físicamente.

¿Es siquiera una pegatina? Un código genuino suele estar impreso directamente en el cartel, el panel o la carta. Una etiqueta adhesiva aparte merece una segunda reflexión.
Bordes despegados o levantados. Una pegatina aplicada sobre otra pegatina a menudo tiene las esquinas ligeramente levantadas.
Desalineación. La falsa puede quedar torcida, o cubrir parte del texto o el logotipo de alrededor.
Acabado que no coincide. Papel, brillo o color distintos del resto del material impreso.
Una capa visible debajo. A veces puedes ver el borde del código real asomando.

Si un código parece añadido y puedes despegarlo para revelar otro código debajo, eso es una prueba casi segura de un ataque — déjalo en su sitio, no lo escanees y avisa al local.

La defensa decisiva: lee el enlace

La inspección física atrapa muchas superposiciones, pero el respaldo fiable es siempre el mismo: previsualiza el destino antes de abrirlo. Incluso una pegatina aplicada a la perfección no puede ocultar adónde lleva realmente su código una vez que lo decodificas. Cuando escanees, lee el dominio y pregúntate si pertenece al operador real. Un escáner que te permita escanear un código de forma segura y muestre primero el destino verdadero convierte el enlace invisible en uno que puedes juzgar. Para los detalles de cómo leer una dirección, consulta códigos QR y URL maliciosas.

¿Qué pueden hacer los negocios para defender sus códigos?

Si gestionas un local o manejas máquinas con códigos, tú también eres un objetivo — y puedes hacer que las superposiciones sean más difíciles y más evidentes.

Haz que los códigos delaten la manipulación. Plastifícalos, imprímelos en la superficie o usa etiquetas antimanipulación que se rompan visiblemente al despegarse.
Integra el código en el diseño. Un código incrustado dentro de logotipos y marca es más difícil de cubrir limpiamente que un simple cuadrado en una esquina.
Inspecciona con regularidad. Entrena al personal para revisar los códigos de alto valor (pago, estacionamiento, mesas) en busca de pegatinas como parte de la rutina.
Publica el dominio real. Imprime la dirección web oficial junto al código para que los clientes puedan confirmar que el destino coincide.
Ofrece una alternativa. Una app con nombre o una URL corta y fácil de recordar da a los clientes una forma de pagar que no depende del código físico.
Prefiere códigos estáticos con tu enlace real. Un destino codificado directamente en tu propio dominio es fácil de verificar para los clientes. Puedes crear un código QR gratis que haga exactamente eso.

¿Qué debo hacer si encuentro una?

Si detectas una superposición sospechosa:

No la escanees, o si ya lo hiciste, no introduzcas ningún dato.
Fotografíala en su sitio como prueba, si es seguro hacerlo.
Avisa al local o al operador de inmediato para que puedan retirarla y advertir a otros.
Denúnciala al organismo de fraude o protección al consumidor correspondiente. Nuestra guía sobre cómo denunciar un código QR malicioso cubre a quién contactar.

Mantenerlo en perspectiva

Los ataques de pegatina son reales, pero también están entre las estafas más fáciles de derrotar una vez que sabes que existen. Un vistazo a la superficie del código y una lectura del enlace decodificado se encargan de casi todos ellos, y ninguno de los dos lleva más de unos segundos. Combina esos dos hábitos — recogidos en nuestra lista de comprobación de seguridad de códigos QR — y una falsificación pegada se convierte en algo que notas en lugar de algo en lo que caes.

Preguntas frecuentes

¿Cómo sé si un código QR ha sido manipulado?

Busca una pegatina puesta sobre la superficie, especialmente con bordes despegados, alineación torcida, un acabado que no coincide u otro código visible debajo. Un código genuino suele estar impreso directamente en el cartel o el panel en lugar de añadido como una etiqueta suelta.

¿Por qué son tan eficaces los ataques de pegatina?

No requieren ninguna habilidad técnica y explotan la confianza en un lugar que la gente ya usa — un parquímetro, una carta, un cartel. El código falso se ve idéntico al real, así que la estafa depende por completo de que las víctimas no inspeccionen la pegatina ni lean el enlace.

¿Puedo simplemente despegar una pegatina sospechosa?

Es mejor dejarla en su sitio y denunciarla, para que el local pueda conservarla y advertir a otros, pero si levantas una esquina y ves otro código debajo, eso confirma la manipulación. En cualquier caso, no la escanees y avisa al operador.

¿Cómo puede un negocio proteger sus códigos QR de las superposiciones?

Usa etiquetas antimanipulación o plastificadas, imprime los códigos en la superficie o en la marca, inspecciona con regularidad los códigos de alto valor y muestra la dirección web oficial junto a cada código para que los clientes puedan confirmar el destino. Ofrecer una app o una URL conocida como alternativa también ayuda.

¿Me protege previsualizar el enlace aunque la pegatina se vea perfecta?

Sí. Por muy convincentemente que se aplique una pegatina, decodificar su código revela el destino verdadero. Leer ese enlace y comprobar el dominio te permite atrapar una superposición que no podrías detectar solo con la vista.