¿Puede un código QR darle un virus a tu teléfono? Mito vs. realidad

La respuesta corta: no, pero...

No: un código QR no puede meterle un virus a tu teléfono solo por escanearlo. No es más que texto guardado, normalmente una dirección web, dentro de una cuadrícula de cuadros blancos y negros. Leerlo se parece mucho a escribir una URL a mano en la barra de direcciones: nada se instala, nada se ejecuta, en el momento del escaneo.

Aquí viene el "pero", y es justo. Como dice el Centro Nacional de Ciberseguridad del Reino Unido, la amenaza "viene de hacia dónde te dirigen" — no del código en sí. Un código QR puede llevarte a algo peligroso con la misma facilidad con la que te lleva al menú de un restaurante, y tu teléfono no tiene forma de distinguirlo hasta que tocas el enlace.

Cómo funciona realmente un código QR

Un código QR codifica datos en uno de cuatro formatos — numérico, alfanumérico, byte/binario o kanji — y puede almacenar hasta unos 4.000 caracteres. Eso es todo. No hay procesador, ni script, ni aplicación empaquetada dentro del patrón. Como señala Wikipedia, el único tipo de dato en un código QR estándar que lleva a algo más es una URL, y aun así el código en sí no ejecuta nada: lo hace el navegador de tu teléfono, después de que tocas el enlace.

Esto también explica por qué un código QR rayado o decorado sigue escaneando bien: los códigos QR usan corrección de errores Reed-Solomon, que recupera hasta un 30% de los datos aunque parte del código esté dañada o cubierta. Esa misma tolerancia es lo que permite a un atacante pegar una pegatina con un código falso justo encima de uno real sin que el escaneo se rompa visiblemente.

No pasa nada hasta que tocas el enlace decodificado y tu navegador lo abre. Malwarebytes coincide en el mismo punto: escanear un código QR por sí solo no puede dañar tu dispositivo — el peligro solo aparece en lo que la información decodificada le indica a tu teléfono que haga a continuación.

El riesgo real: qué pasa después de escanear

Si un código QR no es peligroso por sí mismo, ¿de dónde sale eso de "un código QR me contagió un virus"?

• Enlaces de phishing ("quishing"). Los atacantes esconden URLs maliciosas dentro de un código QR porque un enlace que se vería obviamente falso como texto plano puede pasar desapercibido dentro de una imagen — y colarse por filtros de correo que escanean texto pero no imágenes. Nuestra guía sobre por qué el phishing con códigos QR se duplicó el año pasado explica exactamente cómo ocurrió ese cambio.
• Manipulación física. El FBI ha advertido sobre criminales que imprimen pegatinas con códigos QR y las pegan sobre códigos legítimos en parquímetros, avisos de entrega y mesas de restaurantes, redirigiendo a las víctimas a páginas falsas de pago o inicio de sesión.
• Solicitudes de instalación de apps maliciosas. Un enlace escaneado puede llevar a una página que te pide instalar una "app" para ver contenido o reclamar un premio — ese instalador, no el código QR, es lo que realmente compromete el teléfono. La FTC ha documentado este mismo patrón de estafa en paquetes inesperados y avisos por correo.

Para un recorrido más amplio por estos patrones de estafa — incluidos los cambios de pegatina en lugares públicos — consulta nuestra guía completa sobre si es seguro escanear un código QR.

Cómo escanear con seguridad (y dónde entra QRDock)

Nada de esto significa que debas dejar de escanear códigos QR. Significa tratar el enlace que hay detrás como tratarías cualquier enlace acortado.

• Usa la cámara integrada de tu teléfono, no una app de escaneo de terceros que pide permisos que no necesita.
• Revisa la vista previa de la URL antes de abrir el enlace. Un dominio que no coincide, caracteres aleatorios o un lenguaje urgente ("reclama ahora", "verifica de inmediato") son señales para detenerte.
• Nunca instales una app ni introduzcas datos de pago desde un código QR que no esperabas.
• Ten especial cuidado en lugares públicos — parquímetros, pegatinas de entrega y volantes son objetivos comunes para las superposiciones fraudulentas.

Aquí es exactamente donde entra un escáner de QR centrado en la privacidad: QRDock revisa el enlace escaneado contra patrones conocidos como maliciosos antes de que lo abras, así recibes una advertencia en lugar de una sorpresa. Esa revisión es un esfuerzo razonable, no una garantía, pero añade una capa que la mayoría de las cámaras predeterminadas no ofrecen.

Preguntas frecuentes

¿Puede escanear un código QR por sí solo infectar mi teléfono con un virus?

No. Un código QR estándar solo almacena texto o una URL — no tiene código ejecutable propio. Tu cámara o app de escaneo solo decodifica ese texto; nada se ejecuta en tu teléfono hasta que tocas el enlace que produce y tu navegador abre el destino.

Entonces, ¿cómo se infecta realmente la gente a través de un código QR?

A través de a dónde lleva el código, no del código en sí. Un código QR malicioso lleva a una página de phishing que pide tu contraseña o número de tarjeta, o te empuja a instalar una app sospechosa. La "infección" ocurre después de ese toque, desde el sitio o la app en la que aterrizas.

¿Son más riesgosos los códigos QR en lugares públicos — parquímetros, menús, volantes?

Sí. Los estafadores suelen imprimir una pegatina con un código QR falso y pegarla directamente sobre uno legítimo en parquímetros, avisos de entrega o mesas de restaurantes. El código sigue escaneando bien gracias a la corrección de errores integrada, así que no hay señal visual de que haya sido cambiado.

¿Cómo puedo saber si un código QR es seguro antes de escanearlo?

Usa la cámara integrada de tu teléfono en lugar de una app de escaneo de terceros al azar, y revisa la vista previa de la URL que muestra tu teléfono antes de abrir el enlace — si parece acortada, mal escrita o sin relación con la fuente, no la toques. Un escáner con revisión de enlaces integrada, como QRDock, marca los destinos sospechosos antes de que los visites.

Conclusión

El código en sí es inerte — solo texto dentro de una cuadrícula de cuadros. La decisión de confianza llega un paso después, en el enlace que abre. Trata un código QR como tratarías cualquier URL acortada: vale la pena un vistazo de dos segundos antes de tocar, no una razón para dejar de escanear por completo.