Antes del clic: cómo revisar enlaces y códigos QR sin caer en trampas

Señales que invitan a parar

Desconfía de mensajes inesperados que anuncian un bloqueo, un paquete retenido, un pago pendiente, un premio o una actividad sospechosa y exigen actuar con urgencia. La presión busca que no verifiques. También merece atención una petición de contraseña, código de un solo uso, datos de tarjeta o copia de documentos que no esperabas. Un saludo genérico, errores o un remitente extraño pueden ser pistas, aunque un mensaje bien escrito también puede ser fraudulento.

Revisa el dominio completo, no solo el nombre que aparece en el mensaje, el logotipo o el texto del botón. Los atacantes pueden usar palabras reconocibles junto a términos añadidos, guiones, letras cambiadas o subdominios que confunden. Por ejemplo, ejemplo ficticio, no es un sitio real: https://banco-seguro.acceso-cliente.ejemplo.invalid no pertenece a “banco-seguro” por incluir esas palabras: el dominio final antes de la primera barra es ejemplo.invalid. No abras una dirección dudosa para comprobarla.

HTTPS cifra la conexión entre el navegador y el sitio, pero no demuestra que la entidad sea legítima ni que la página sea segura: un sitio fraudulento también puede usar HTTPS. Tampoco basta con que el candado esté presente. Si el vínculo es acortado, no puedes identificar con claridad su destino, o el dominio difiere del oficial, no continúes.

Escanea el QR con la misma prudencia

Un código QR puede ocultar una web, una descarga, una configuración de red o una acción de pago; el dibujo no permite saber por sí solo quién lo creó. Antes de escanearlo, piensa si esperabas ese código y si el cartel o soporte parece auténtico. Un adhesivo superpuesto, una ubicación inusual o una oferta demasiado tentadora son motivos para verificar con el establecimiento por una vía independiente. Si el móvil muestra el destino, léelo antes de abrirlo. Rechaza descargas o permisos que no tengan sentido para la tarea.

Para entrar en banca, tiendas o servicios con cuenta, evita el enlace recibido: abre la aplicación oficial ya instalada o escribe tú mismo la dirección que conoces. Si un mensaje dice ser de una empresa, confirma la solicitud usando el teléfono o contacto publicado en su web oficial, no los datos que trae el propio mensaje. Los analizadores de enlaces pueden aportar una señal, pero un resultado sin alertas no garantiza que una página sea legítima ni reemplaza la comprobación del dominio.

Checklist antes de abrir o introducir datos

• ¿Lo esperaba? Si no, verifica la petición por otro canal.
• ¿Me están apurando o asustando? Detente; no respondas bajo presión.
• ¿Veo el destino completo? Comprueba cada parte del dominio y evita enlaces ocultos o acortados.
• ¿El QR parece manipulado? Si hay dudas, pide al local el enlace o menú oficial.
• ¿Me pide secretos o instalar algo? No entregues contraseñas ni códigos de verificación; no descargues archivos inesperados.
• ¿Es un trámite sensible? Accede por la app o web oficial abierta por ti y confirma allí.

Si ya abriste el enlace o compartiste datos

Si solo abriste la página, ciérrala y no descargues ni ejecutes nada. Si instalaste un archivo o una aplicación, evita seguir usándola, elimínala cuando sea seguro y revisa el dispositivo con las herramientas de seguridad disponibles; ante dudas, pide asistencia técnica. Guarda el mensaje, la dirección, capturas y comprobantes, sin reenviar el enlace a otras personas.

Si introdujiste una contraseña, cámbiala cuanto antes desde la aplicación o sitio oficial, nunca desde el enlace recibido. Cambia también las contraseñas reutilizadas y activa la verificación en dos pasos si está disponible. Revisa sesiones y actividad de la cuenta y cierra las que no reconozcas. Si diste datos bancarios, tarjeta o autorizaste una operación, contacta de inmediato con tu banco usando el número de la tarjeta, su aplicación o su web oficial; explica qué compartiste y sigue sus indicaciones para bloquear tarjeta, accesos o pagos no autorizados. Conserva pruebas y considera reportar el fraude a las autoridades competentes.

También puedes consultar a INCIBE en el 017, su Línea de Ayuda en Ciberseguridad, para orientación sobre tu caso. El servicio ofrece asesoramiento, pero no sustituye al banco, a las autoridades ni garantiza un resultado concreto. Usa siempre los canales oficiales, especialmente si hay dinero o cuentas en riesgo.