La técnica de la pegatina
El método es de una simplicidad desconcertante. Un delincuente entra en un restaurante, localiza los soportes con códigos QR colocados sobre las mesas o en la entrada, y pega encima una pegatina recién impresa, con su propio código QR. Toda la operación lleva menos de treinta segundos por mesa.
La página falsa que se abre es una réplica casi perfecta de una página de pedido o de pago: los logotipos correctos, los colores corporativos correctos, a veces incluso el nombre del restaurante. El cliente, convencido de estar consultando el menú del día, introduce los datos de su tarjeta bancaria en un sitio web fraudulento.
La técnica no se limita a los restaurantes: Cybermalveillance.gouv.fr, la plataforma pública francesa de ayuda contra la ciberdelincuencia, también alerta de códigos QR falsos pegados en parquímetros y en puntos de recarga para vehículos eléctricos.
Los restaurantes que adoptan menús digitales sin protección física (códigos QR grabados, soportes con cerradura) son objetivos prioritarios. Los establecimientos pequeños que imprimen ellos mismos sus soportes en papel corriente son los más vulnerables.
Cómo detectarlo
Antes de escanear, inspecciona físicamente el código QR. Las pegatinas falsas suelen estar ligeramente descuadradas, con bordes que sobresalen o una calidad de impresión distinta a la del resto de los materiales del restaurante.
Utiliza un lector de QR que muestre la URL completa antes de abrir el enlace. La app de Cámara nativa de iOS y los lectores integrados de Android suelen mostrar la URL: tómate un momento para leerla. Los atacantes recurren al typosquatting: 'carte-restaurant-lyon.com' en lugar del sitio web oficial del local.
Desconfía especialmente si la página que se abre solicita los datos de la tarjeta bancaria solo para ver un menú. Ningún restaurante legítimo condiciona el acceso a la carta a un pago.
Si tienes dudas, pídele directamente a un miembro del personal que te muestre la carta o el código QR que aparece en su panel de administración, no el del soporte de la mesa.
Lo que hace Trasimène
Trasimène incluye un escáner de códigos QR. Nuestros servidores verifican cada enlace que lee este escáner antes de que se abra: en las listas de sitios de phishing y de software malicioso que mantiene Trasimène, en Google Safe Browsing y según el destino final de las posibles redirecciones.
Si el enlace se reconoce como peligroso, no se abre: aparece una alerta y tú decides si abrirlo de todos modos. La fecha de registro del dominio, cuando se conoce, se muestra para ayudarte a juzgar, pero no cuenta en el veredicto.
Esta verificación pasa por el escáner de la app: ábrelo antes de apuntar al código QR. Un código QR leído con la cámara del teléfono no se verifica. Si tienes activada la VPN de Trasimène, incluida en la suscripción, detecta a posteriori la visita a un sitio que ya figura en nuestras listas y te la señala en la app. No bloquea la página ella misma: solo Quad9, el servicio suizo al que confía la resolución de nombres, descarta por su parte los dominios maliciosos que conoce.
La vigilancia sigue siendo la primera línea de defensa. Un vistazo rápido antes de escanear, leer la URL antes de escribir, hacer una pregunta cuando surja la duda: estos hábitos sencillos bastan para frustrar la gran mayoría de los ataques por código QR. Y con la app de seguridad adecuada, no hay motivo para no automatizarlos.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Protégete contra el phishing por QR