Te llegó un paquete que no pediste con un código QR. No lo escanees.

Qué es

Te llega una caja. No la pediste. Sin nombre de remitente, solo una nota pidiéndote escanear un código QR para "saber quién la envió" o "gestionar una devolución". Eso no es una confusión: es una estafa, y el FBI e IC3 lo advirtieron formalmente en julio de 2025. Los delincuentes envían estos paquetes por un solo motivo: conseguir que escanees ese código.

Es una variante con QR de la estafa de "brushing" más antigua. En la versión clásica, un vendedor envía mercancía barata que nunca pediste y luego usa tu nombre para publicar una reseña falsa de "compra verificada" e inflar las valoraciones de su producto. Con un código QR de por medio, hay una segunda recompensa sobre la mesa: si escaneas, también tienen una oportunidad de robar tus credenciales o acceder a tu teléfono.

Cómo funciona en realidad

El montaje es simple. Un paquete llega correctamente dirigido a ti, pero sin remitente y sin nada que lo vincule a un pedido real. Dentro, una nota impresa presenta el código como algo útil: "escanea para ver quién envió este regalo", o quizá "escanea para gestionar tu devolución gratuita". No se ofrece ninguna otra forma de obtener esa información. Eso es intencional.

Si lo escaneas, el código puede llevarte a una página de phishing diseñada para robar números de tarjeta, nombres de usuario y contraseñas. O puede lanzar la instalación de una app que le da a un atacante acceso continuo a lo que haya en el teléfono, no solo un robo puntual de credenciales.

¿Quieres comparar esto con otras trampas relacionadas con escaneo? ¿Es seguro escanear un código QR? cubre pegatinas superpuestas, pantallas de inicio de sesión falsas y redirecciones maliciosas más allá del buzón.

Dónde lo verás

Esta estafa viaja por correo o mensajería, no en una pegatina, y esa diferencia importa. Un código QR falso pegado sobre un parquímetro manipula un código real y confiable, así que hay una versión legítima cerca con la que compararlo. Un paquete no solicitado se salta ese paso por completo: la caja, la nota y el código están fabricados desde cero, pensados para llegar como si nada estuviera fuera de lo normal.

Incluso la lectura del FBI sobre esto es mesurada: la agencia la describe como "no tan extendida como otros esquemas de fraude", pero lo bastante seria como para justificar una alerta formal.

Consejos, trampas y un mini paso a paso con QRDock

Empieza por la base legal: no tienes obligación de pagar, devolver ni siquiera abrir algo que no pediste. Quédatelo, tíralo, lo que sea: esa decisión es tuya, escanees o no.

La defensa más sencilla aquí no es nada ingeniosa, es simplemente aburrida: no escanees un código que llegó de un desconocido en una caja que no pediste. Ningún comercio legítimo necesita un escaneo para decirte quién envió tu propia compra; esa información ya está en tu historial de pedidos y en tus correos de confirmación.

¿No estás seguro de un código antes de abrir lo que sea que enlace? Un escáner que muestra un adelanto del enlace de destino y señala el riesgo antes de cargar la página te deja ver la URL sin comprometerte del todo; ese es el tipo de verificación que incorpora QRDock.

¿Ya lo escaneaste y metiste algún dato? Cambia esa contraseña ahora, en todos los sitios donde la reutilizaste, y activa la verificación en dos pasos. Pide un informe gratuito en AnnualCreditReport.com y revisa tus estados de cuenta en busca de algo desconocido. Después, reporta el paquete en ReportFraud.ftc.gov o ic3.gov para que quede registrado el patrón.

Preguntas frecuentes

¿Tengo que pagar o devolver un paquete que nunca pedí?

No. La ley federal trata la mercancía no solicitada como un regalo: puedes quedártela y no estás obligado a pagarla ni a devolverla, sin importar lo que diga cualquier nota dentro de la caja.

Ya escaneé el código QR. ¿Qué hago ahora?

Si escribiste un usuario o contraseña en la página que se abrió, cambia esa contraseña de inmediato en todas las cuentas donde la reutilizaste y activa la verificación en dos pasos. Pide un informe de crédito gratuito en AnnualCreditReport.com, revisa los estados de tu tarjeta y tu banco en busca de cargos desconocidos, y considera una alerta de fraude o un bloqueo de crédito si algo no cuadra.

¿En qué se diferencia de un código QR pegado sobre un parquímetro o un menú?

Una estafa con pegatina superpuesta manipula un código real y confiable en un espacio público. Esta no tiene un original legítimo: todo el paquete, la nota y el código fueron creados por el estafador desde el principio, así que no hay nada con qué compararlo visualmente.

¿De verdad un código QR puede instalar malware con solo escanearlo?

Sí. Algunos de estos códigos llevan a una página que solicita instalar una app o conceder permisos; aceptarlo puede darle a un atacante acceso continuo a los datos del teléfono, no solo un robo puntual de credenciales.

Conclusión

Una caja sin marcar con una nota de "escanea para saber quién envió esto" no es un acertijo que valga la pena resolver: es una estafa disfrazada de una. El paquete en sí es inofensivo si lo guardas, lo tiras o lo ignoras; el código es la trampa real, y saltártelo no te cuesta nada. Mientras las operaciones de brushing sigan probando nuevos ganchos, la regla no cambia: no escanees códigos de desconocidos, sin importar la historia que traigan pegada.