Estafa del código QR del IRS: cómo los códigos QR falsos suplantan los avisos fiscales

Qué es

¿Recibiste un mensaje de texto, correo o carta que dice ser del IRS y te pide escanear un código QR? Ten cuidado. La lista Dirty Dozen 2026 del IRS señala a estafadores que envían correos, mensajes directos y textos diseñados para parecer correspondencia oficial del IRS, cada uno con un código QR que lleva a un sitio falso que imita a IRS.gov. El sitio falso intenta obtener tu información personal y financiera, o te convence de "reclamar" un reembolso que no existe. Más de 600 cuentas en redes sociales suplantaron a la agencia durante el año fiscal 2025, según cifras del propio IRS. Esto no es un caso aislado. Es un patrón a gran escala.

Cómo funciona realmente la estafa

El anzuelo sigue un guion conocido: lenguaje alarmante, un plazo ajustado, un código QR presentado como la forma más rápida de resolver lo que el mensaje dice que está mal. Esa urgencia es la señal delatora en casi todos los intentos de quishing — la versión con temática del IRS no es distinta, solo el mismo mecanismo envuelto en un asunto más alarmante.

Lo verdaderamente complicado es esto: un código QR por sí solo no prueba nada. Algunos avisos legítimos del IRS —el aviso CP53E de reembolso es un ejemplo confirmado— incluyen legítimamente un código QR que enlaza a una página de IRS.gov. Así que el código en sí no te dice nada. Lo que importa es todo lo demás. El IRS nunca pedirá datos bancarios por correo, texto o teléfono. No exigirá pagos con tarjetas prepagadas ni transferencias bancarias, ni amenazará con arresto sin darte oportunidad de responder. Los avisos reales también llegan por correo postal, punto — si un "aviso" solo existe como texto o mensaje directo, esa es la señal de alerta.

Dónde lo verás

Una versión confirmada de esta estafa apunta directamente a los tenedores de criptomonedas. El IRS emitió una alerta de fraude que describe cartas enviadas por correo que instruyen a los destinatarios a escanear un código QR e inscribirse en un "Portal de Cumplimiento de Activos Digitales" antes de una fecha límite. El código abre una página de phishing diseñada para recolectar direcciones de billeteras, credenciales de cuentas de intercambio y otros datos sensibles. El IRS ha sido claro al respecto: no opera ningún Portal de Cumplimiento de Activos Digitales, y si una carta te dice que te inscribas en uno, no respondas. Es una estafa, sin excepciones.

Tampoco se limita al correo postal. El mismo enfoque aparece por correo electrónico y mensajes de texto, incluido el tipo de quishing en la bandeja de entrada que se cuela entre los filtros de spam porque el enlace está oculto dentro de una imagen en lugar de escrito como texto que un filtro pueda escanear.

Consejos, trampas y una revisión rápida con QRDock

El mejor hábito aquí: nunca escanees un código QR de una carta, correo, texto o mensaje directo que no esperabas, especialmente si te presiona a actuar de inmediato. Si un mensaje dice ser del IRS, verifícalo por un canal en el que ya confías — inicia sesión en tu cuenta en línea del IRS, usa "¿Dónde está mi reembolso?" en IRS.gov, o llama al 1-800-829-1040.

Antes de actuar según lo que abra un código QR, conviene ver antes el destino. QRDock muestra la URL a la que lleva un código y señala enlaces sospechosos antes de que los abras — es una verificación de mejor esfuerzo, no una garantía, así que combínala con el mismo escepticismo que aplicarías a cualquier enlace inesperado. Busca una dirección real de irs.gov en lugar de un dominio con una letra cambiada o una palabra extra añadida, un patrón que la FTC ha documentado en estafas de código QR en general. Para más detalles, consulta nuestra guía sobre cómo revisar un código QR antes de escanearlo.

Preguntas frecuentes

¿De verdad el IRS pone códigos QR en avisos reales?

Sí — algunos avisos legítimos del IRS sí incluyen un código QR que enlaza a una página de IRS.gov, y por eso los estafadores imitan ese formato. La sola presencia de un código QR no confirma que un aviso sea real o falso.

¿Qué hace la estafa de la carta falsa del "Portal de Cumplimiento de Activos Digitales"?

Es una carta que suplanta al IRS y le dice a los tenedores de criptomonedas que deben escanear un código QR para inscribirse en un portal de cumplimiento antes de una fecha límite. El IRS ha confirmado que no opera ningún portal así — el código QR lleva a un sitio de phishing diseñado para obtener credenciales de billeteras y cuentas.

¿Qué debo hacer si ya escaneé un código QR sospechoso del IRS?

No ingreses ninguna información en el sitio que se abrió. Cierra la pestaña, ejecuta un análisis de malware en tu dispositivo y, si ingresaste datos personales o financieros, contacta a tu banco y vigila tus cuentas. Repórtalo a phishing@irs.gov o en IRS.gov/SubmitATip.

¿Cómo puedo revisar a dónde lleva un código QR del IRS antes de escanearlo?

Usa un escáner que muestre primero la URL de destino, y confirma que apunte a una dirección real de irs.gov y no a un dominio similar. Si el aviso te presiona a actuar de inmediato, verifica a través de tu cuenta en línea del IRS o llamando al 1-800-829-1040, en lugar de usar el código QR.

Conclusión

Un código QR en algo que dice ser del IRS no es automáticamente sospechoso — los avisos reales también los usan. Lo que importa es cómo llegó el mensaje, qué está pidiendo y si te presiona a actuar antes de que hayas verificado algo. Los códigos QR se están volviendo comunes en el correo oficial. Ese hábito de verificar primero vale la pena mantenerlo, no saltárselo.