Proteger los códigos QR impresos de las pegatinas fraudulentas: lo que hicieron las ciudades

Para proteger los códigos QR impresos de las estafas con pegatinas, copia lo que hicieron las ciudades cuando aparecieron códigos falsos en los parquímetros: decir públicamente qué métodos de pago son los reales, revisar cada equipo, retirar rápido las falsificaciones, avisar a quienes usan el servicio y darles una forma de denunciar. Ninguna fuente revisada aquí probó etiquetas antimanipulación, marcos ni cubiertas, así que de ninguno de ellos se puede decir que esté probado.

Los casos de abajo son equipos públicos de aparcamiento, no impresos de empresa. El mecanismo es el mismo (el código de un delincuente colocado sobre uno real), pero aplicarlo a tus propios carteles es interpretación nuestra. Para la parte del consumidor, consulta Cómo detectar un código QR falso.

Datos comprobados el 17 de octubre de 2026.

Tres casos: Nueva York, Mississauga y una alerta de la FTC

Cinco cosas que hicieron las autoridades

1. Dijeron qué método de pago es el real. El NYC DOT señaló la app oficial ParkNYC y los parquímetros físicos como la única forma de pagar el aparcamiento regulado. Mississauga escribió: «Los códigos QR nunca han sido un método de pago legítimo en las máquinas de aparcamiento municipales». Which? informó en junio de 2025 de que el ayuntamiento de Southend-on-Sea tampoco usa códigos QR en sus máquinas de aparcamiento. Para una empresa, el equivalente es una línea en tu web y en tus recibos que diga qué hacen y qué no hacen tus códigos.
2. Lo revisaron todo y retiraron rápido las falsificaciones. Nueva York inició una inspección en toda la ciudad; Mississauga envió equipos a revisar cada máquina. Cyber Security NSW aconseja a las organizaciones «revisar con regularidad los códigos QR desplegados en busca de señales de manipulación o uso indebido» (hoja sin fecha; los metadatos del PDF y su dirección web apuntan a octubre-diciembre de 2024). ¿Has encontrado una pegatina sospechosa? El lector de códigos QR gratuito descodifica una foto en tu navegador y muestra la dirección sin abrirla.
3. Avisaron a los usuarios donde ya estaban. Nueva York dijo que los usuarios de ParkNYC recibirían una notificación dentro de la app. Mississauga enumeró señales de alerta, como una pegatina colocada sobre la máquina o cerca de ella en lugar de integrada, y un sitio de pago con una dirección ligeramente distinta.
4. Dieron a la gente una forma de denunciar. Nueva York publicó un teléfono y un correo de ParkNYC, Mississauga pidió a los vecinos que llamaran al 311 y la FTC remite a quien haya escaneado un código malicioso a ReportFraud.ftc.gov. Un FBI FLASH de enero de 2026, escrito sobre quishing por correo y no sobre pegatinas, también aconseja a las organizaciones establecer «protocolos claros para denunciar códigos QR sospechosos».
5. Avisaron a la policía. El NYC DOT dijo que notificó a las fuerzas del orden.

Qué dicen las cifras

Hay pocas cifras y cuentan cosas distintas.

Los dos periodos de Action Fraud difieren, y ninguna de las dos páginas es de la propia Action Fraud. No sumes filas: cuentan denuncias, volúmenes de ataques, códigos únicos y detecciones de rastreadores. Ninguna desglosa las pegatinas en carteles físicos.

La imagen oficial y la de los proveedores no coinciden. El National Cyber Security Centre del Reino Unido dijo en un blog de febrero de 2024 que el fraude con QR en el Reino Unido «es relativamente pequeño comparado con otros tipos de fraude cibernético» y que la mayor parte suele producirse en espacios abiertos como estaciones y aparcamientos. Las cifras de los proveedores cubren trimestres distintos: el recuento de Mimecast bajó en el 4T 2025, mientras que Microsoft informa de un aumento en el correo durante el 1T 2026. Ninguna fuente aquí mide con qué frecuencia se tapan los códigos impresos.

Cómo proteger los códigos QR impresos frente a manipulaciones: qué está probado y qué no

Ninguna fuente revisada aquí prueba pegatinas antimanipulación, bordes, cubiertas transparentes ni ninguna otra protección física, y ninguna página oficial revisada recomienda ninguna. Los pasos 1 a 5 son lo que respaldan las fuentes; el resto es un límite o una idea sin probar.

Un código dinámico no detiene una pegatina. Una pegatina falsa lleva su propia dirección, así que nada de lo que edites en una cuenta cambia lo que codifica. Un código dinámico cubre la otra mitad del problema. Con un código de URL dinámico en QR Maker AI, el patrón impreso codifica un enlace corto, y puedes cambiar el destino que hay detrás a partir del siguiente escaneo, sin reimprimir, si tu página de destino se ve comprometida o cambia de sitio. El informe del APWG señala que los delincuentes también usan las funciones de edición del destino y de seguimiento de escaneos de los generadores, así que ninguna de las dos es una salvaguarda por sí sola. Puedes crear un código dinámico para ver cómo funciona la edición.

Idea 1, sin probar: vigilar el número de escaneos. El responsable de producto de confianza y seguridad de Bitly sugiere que un código físico cuyos escaneos caen de repente a cero «puede haber sido manipulado o tapado por un código fraudulento». Es una sugerencia de un proveedor con un ejemplo hipotético y sin datos, y dará falsas alarmas: termina una temporada, se cierra una campaña, se mueve un cartel. Toma una caída como motivo para ir a mirar. En nuestro plan gratuito, el recuento se pausa cuando una cuenta supera los 500 escaneos registrados en un mes, mientras los códigos siguen redirigiendo, así que una línea plana a final de mes puede ser el límite y no una pegatina. Consulta Cómo medir los escaneos de un código QR.

Idea 2, sin probar: usar un dominio que la gente reconozca. Unit 42, un proveedor de seguridad, escribió en abril de 2025 que «la gente solo puede ver el nombre de dominio a través de la aplicación de cámara de su dispositivo», sin indicar método. Si es así, un código que abre un dominio tuyo, como go.example.com, da a quien escanea algo conocido con lo que comparar. Es una deducción nuestra, y ninguna fuente revisada aquí lo ha probado. El plan Business incluye un dominio propio para enlaces cortos en un subdominio tuyo (precios).

Idea 3, sin probar: imprimir el código en el propio cartel. Mississauga considera señal de alerta una pegatina colocada sobre la máquina o cerca de ella, en lugar de integrada, y la hoja de NSW dice que un código superpuesto a veces se ve o se nota al tacto. Si tu código real está impreso en el propio cartel, cualquier cosa pegada encima debería destacar más. Ninguna fuente comprobó si eso disuade a alguien.

Preguntas frecuentes

¿Puede un código QR dinámico impedir que alguien le pegue una pegatina encima?

No. Una pegatina codifica su propia dirección, así que un código dinámico solo te permite cambiar adónde apunta tu propio código.

¿Existe una pegatina de código QR a prueba de manipulaciones?

Ninguna de las páginas oficiales revisadas aquí evalúa pegatinas antimanipulación, marcos ni cubiertas, así que este artículo no puede recomendar ninguna. Las ciudades se apoyaron en la inspección, la retirada rápida y los avisos públicos.

¿Qué hago si encuentro una pegatina falsa sobre mi código?

Las ciudades retiraron las pegatinas y avisaron a los usuarios, y Nueva York notificó a las fuerzas del orden. En Estados Unidos, la FTC pide a quien haya escaneado un código malicioso que lo denuncie en ReportFraud.ftc.gov.

Fuentes

1. NYC DOT — NYC DOT Issues Parking Meter Scam Advisory. Published 6 June 2025. Accessed 17 October 2026.
2. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
3. Federal Trade Commission — See a QR code parked somewhere? Don't scan it…yet!. Published 3 September 2026. Accessed 17 October 2026.
4. Which? — Quishing scams warning: how to spot and avoid dodgy QR codes. Published 25 June 2025. Accessed 17 October 2026.
5. Cyber Security NSW — Quick Response (QR) code Fact Sheet. Undated; PDF metadata and web address point to October to December 2024. Accessed 17 October 2026.
6. Federal Bureau of Investigation — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities. Published 8 January 2026. Accessed 17 October 2026.
7. Croft Parish Council — New quishing alert: £3.5 million lost last year to fraudulent QR codes. Published 15 July 2025 (reposts an Action Fraud notice). Accessed 17 October 2026.
8. Federal Bureau of Investigation — 2025 IC3 Annual Report. Undated in the PDF text. Accessed 17 October 2026.
9. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
10. APWG — Phishing Activity Trends Report, 4th Quarter 2025. Published 18 February 2026. Accessed 17 October 2026. (vendor data, from member Mimecast)
11. Palo Alto Networks Unit 42 — Phishing on the Edge of the Web and Mobile Using QR Codes. Published 13 February 2026. Accessed 17 October 2026. (vendor data)
12. National Cyber Security Centre (UK) — QR Codes - what's the real risk?. Published 8 February 2024; page metadata shows a March 2025 update. Accessed 17 October 2026.
13. Bitly — How Dynamic QR Codes Help Businesses Fight Fraud (From an Expert). Published 22 May 2025. Accessed 17 October 2026. (vendor data)
14. Palo Alto Networks Unit 42 — Evolution of Sophisticated Phishing Tactics: The QR Code Phenomenon. Published 1 April 2025. Accessed 17 October 2026. (vendor data)