Un QR pegado sobre un parquímetro o menú lo lleva a un sitio falso
Los estafadores pegan códigos QR falsos sobre los reales en parquímetros, cargadores eléctricos, menús de restaurante y etiquetas de envío. Escanearlos abre una página de pago convincente que roba sus datos de tarjeta, o solicita instalar una app maliciosa.
También conocida como: quishing, estafa de pegatina QR, QR superpuesto falso
Qué hacer ahora mismo
- 1 Mire el QR antes de escanear. Si es una pegatina encima de otra, no lo escanee
- 2 Cuando aparezca la URL, compárela con el dominio conocido del comercio ANTES de ingresar nada
- 3 Para estacionar: use la app oficial de la ciudad (Park Mobile, MeterUp, etc.) instalada previamente — no un QR del parquímetro
- 4 Si ingresó datos de tarjeta en una página falsa, dispute los cargos con su emisor y reemplace la tarjeta
- 5 Reporte a la FTC en https://reportfraud.ftc.gov y al IC3 del FBI en https://www.ic3.gov.
Señales de alerta
- ⚠ El QR es una pegatina sobre otra (a menudo se ve el borde si mira de cerca)
- ⚠ La página tras escanear pide tarjeta de crédito, inicio de sesión o descargar una app
- ⚠ La URL después de escanear es extraña ('paypaay.com', 'parkin-pay.io', enlaces cortos)
- ⚠ La página no coincide con la marca conocida del comercio
- ⚠ El código está en un lugar público de alto tráfico: parquímetro, cargador, paquete en el porche
El phishing por QR — “quishing” — ha crecido rápido porque los QR se sienten confiables por defecto. Están en todos lados (restaurantes, parquímetros, paquetes) y la mayoría escanea sin revisar la URL.
Un QR escaneado es solo un enlace clickeable. Antes de tocar la URL, mírela. Si no coincide con el comercio esperado, retroceda. Para pagos use una app conocida instalada antes — para eso tiene Park Mobile o su app del banco.
Variantes conocidas
-
Quishing de paquetes — un QR en un paquete inesperado ('escanee para confirmar entrega') lleva a página de phishing.
Last seen: 5/15/2026
-
Correos de phishing con temática del IRS, perfeccionados por IA, incrustan QR que llevan a sitios web falsos del IRS idénticos al original. Se pide a las víctimas 'verificar' su cuenta o reclamar un reembolso, exponiendo su SSN y datos bancarios.
Last seen: 5/15/2026