Cómo leer un código QR sin abrirlo y detectar QR falsos

Un código QR es, en el fondo, un enlace que no puedes leer. Esa es su gracia y también su peligro: apuntas la cámara, el móvil lo descifra y, casi siempre, abre lo que contiene sin que llegues a ver a dónde vas. Los estafadores lo saben, y por eso el fraude por QR —el quishing— ha pasado de curiosidad a problema habitual. En esta guía verás cómo funciona, por qué la cámara del móvil no te protege, cómo leer el contenido real de un QR antes de abrirlo y qué señales delatan un código falso.

Qué es el quishing

Es phishing con un QR como anzuelo. El atacante genera un código que apunta a una web falsa (un banco, una empresa de paquetería, una administración, una app de pago) y lo coloca donde la víctima espera encontrar uno legítimo: una pegatina sobre el QR de un parquímetro, una mesa de restaurante, un cartel de una campaña, un recibo, o un correo que dice "escanea para ver tu factura". La web imita a la real y pide credenciales o datos de tarjeta. El QR no es malicioso en sí mismo: lo es la dirección que contiene, y el problema es que nadie la ve antes de abrirla.

Por qué la cámara del móvil no te protege

Las cámaras de iPhone y Android muestran una pequeña etiqueta con el enlace durante un segundo, pero está pensada para que toques y entres, no para que la examines. Muchas apps (mensajería, bancos, redes) tienen su propio escáner que abre directamente. Y si el QR usa un acortador, lo único que verías es un bit.ly/... que no dice nada sobre el destino. En la práctica, el flujo habitual es "escaneo, toco, ya estoy dentro". Para que un QR sea seguro hace falta un paso intermedio: ver el contenido completo sin ejecutarlo.

Cómo ver el contenido real de un QR

Nuestro lector de códigos QR está hecho para ese paso intermedio. Acepta tres entradas: una imagen (la foto del cartel, el QR que te llegó por correo o WhatsApp), una captura de pantalla pegada con Ctrl+V, o la cámara del dispositivo. En todos los casos la lectura ocurre en tu navegador: ni la imagen ni el vídeo salen de tu dispositivo, y no se guarda historial. Y lo importante es lo que muestra:

Si es un enlace, destaca el dominio real en grande, muestra la URL completa, y avisa si pasa por un acortador, si usa HTTP sin cifrar, si apunta a una dirección IP o si lleva un "@" antes del dominio (un truco para disfrazar el destino). El botón "Abrir enlace" existe, pero lo pulsas tú.
Si es una red Wi-Fi, muestra el nombre, el tipo de seguridad y la contraseña con un botón para copiarla.
Si es un contacto (vCard o MeCard), lista nombre, teléfonos y correos, y te deja descargarlo como .vcf.
Si es un teléfono, correo, SMS o ubicación, muestra los campos y la acción correspondiente; cualquier otra cosa aparece como texto plano.

Pruébalo: haz una foto al próximo QR que te encuentres, cárgala y mira a dónde lleva de verdad. Gratis, sin registro y sin que la imagen salga de tu navegador.

Abrir el lector de QR →

Las señales de alarma

Un dominio parecido pero distinto. mi-banco-seguro.com no es mibanco.com. Mira el dominio completo, no el principio de la dirección.
Un acortador donde no debería haberlo. Un banco, una administración o una empresa de paquetería no necesitan acortar sus enlaces. Si lo ves, desconfía.
HTTP en vez de HTTPS. Hoy cualquier servicio legítimo cifra la conexión.
Una pegatina sobre otro QR. Si el código tiene bordes despegados o está pegado encima de un cartel impreso, es la señal física más clara.
Urgencia y datos. "Tu paquete será devuelto", "tu cuenta quedará bloqueada", y una web que pide contraseña o tarjeta nada más abrir.
Un QR en un correo inesperado. Los correos de phishing usan QR precisamente porque los filtros antispam leen enlaces de texto, no imágenes.

Buenas prácticas, en 30 segundos

Para pagar un parquímetro o un servicio público, usa la app oficial o escribe tú la dirección en lugar de escanear. Antes de introducir cualquier dato tras escanear, mira la barra de direcciones y compárala con la oficial. Ante la duda, lee el QR con el lector y decide. Y si eres tú quien publica códigos (en una carta de restaurante, un cartel, una tarjeta de visita), genéralos con un generador que trabaje en tu navegador, comprueba el resultado con el lector antes de imprimir y revisa de vez en cuando que nadie haya pegado otro encima. En códigos QR privados explicamos por qué importa dónde se genera un código, y en cómo crear un código QR gratis tienes los tipos disponibles.

Preguntas frecuentes

¿Escanear un QR puede infectar mi móvil por sí solo?

No en condiciones normales: leer el código solo decodifica un texto. El riesgo empieza al abrir el enlace y, sobre todo, al introducir datos o instalar algo en la web de destino. Por eso el paso que importa es ver el contenido antes de abrirlo.

¿El lector funciona con QR de papel, pantallas y fotos borrosas?

Con papel y pantallas, sí, desde la cámara o desde una foto. Si la imagen está muy borrosa, es muy pequeña o tiene poco contraste puede no leerse; recorta la imagen para que el código ocupe más espacio o acércate con la cámara.

¿Qué hago si ya abrí un QR sospechoso y metí datos?

Cambia la contraseña de ese servicio de inmediato (y de cualquier otro donde la reutilizaras), avisa a tu banco si diste datos de tarjeta, y revisa los movimientos. Si no eres capaz de recordar contraseñas distintas, nuestro generador de contraseñas y un gestor te ahorran el problema.

Conclusión

El QR no es el enemigo; lo es la costumbre de abrirlo a ciegas. Basta con un paso intermedio —ver el dominio real y el contenido completo— para desactivar casi todos los fraudes por QR. El lector de códigos QR de EzzyApps hace ese paso en segundos, desde una imagen, una captura o la cámara, sin subir nada y sin abrir nada que no hayas decidido abrir tú.

A QR code is, at heart, a link you can't read. That's its charm and also its danger: you point the camera, the phone decodes it and, almost always, opens whatever it contains before you see where you're going. Scammers know this, which is why QR fraud —quishing— has gone from curiosity to everyday problem. In this guide you'll see how it works, why your phone camera doesn't protect you, how to read a QR code's real content before opening it, and which signs give a fake code away.

What quishing is

It's phishing with a QR as bait. The attacker generates a code pointing to a fake site (a bank, a delivery company, a government office, a payment app) and places it where the victim expects a legitimate one: a sticker over a parking meter's QR, a restaurant table, a campaign poster, a receipt, or an email saying "scan to view your invoice". The site imitates the real one and asks for credentials or card details. The QR isn't malicious by itself: the address inside it is, and the problem is that nobody sees it before opening it.

Why your phone camera doesn't protect you

iPhone and Android cameras show a small label with the link for a second, but it's designed for you to tap and go, not to inspect. Many apps (messaging, banking, social) have their own scanner that opens directly. And if the QR uses a shortener, all you'd see is a bit.ly/... that says nothing about the destination. In practice, the usual flow is "scan, tap, I'm in". For a QR to be safe you need an intermediate step: see the full content without executing it.

How to see a QR code's real content

Our QR code reader is built for that intermediate step. It accepts three inputs: an image (the photo of the poster, the QR that came by email or WhatsApp), a screenshot pasted with Ctrl+V, or the device camera. In every case the reading happens in your browser: neither the image nor the video leaves your device, and no history is kept. What matters is what it shows:

If it's a link, it highlights the real domain in large type, shows the full URL, and warns if it goes through a shortener, uses unencrypted HTTP, points to an IP address or carries an "@" before the domain (a trick to disguise the destination). The "Open link" button is there, but you press it.
If it's a Wi-Fi network, it shows the name, security type and password with a copy button.
If it's a contact (vCard or MeCard), it lists name, phones and emails, and lets you download it as .vcf.
If it's a phone, email, SMS or location, it shows the fields and the matching action; anything else appears as plain text.

Try it: take a photo of the next QR you come across, load it and see where it really leads. Free, no sign-up, and the image never leaves your browser.

Open the QR reader →

The red flags

A similar but different domain. my-secure-bank.com is not mybank.com. Look at the full domain, not the start of the address.
A shortener where there shouldn't be one. A bank, a government office or a delivery company doesn't need to shorten its links. If you see one, be suspicious.
HTTP instead of HTTPS. Today any legitimate service encrypts the connection.
A sticker over another QR. Peeling edges or a code stuck over a printed poster is the clearest physical sign.
Urgency and data. "Your package will be returned", "your account will be blocked", and a site asking for a password or card as soon as it opens.
A QR in an unexpected email. Phishing emails use QR codes precisely because spam filters read text links, not images.

Good habits, in 30 seconds

To pay a parking meter or a public service, use the official app or type the address yourself instead of scanning. Before entering any data after scanning, look at the address bar and compare it with the official one. When in doubt, read the QR with the reader and decide. And if you're the one publishing codes (on a restaurant menu, a poster, a business card), generate them with a generator that works in your browser, check the result with the reader before printing, and check from time to time that nobody has stuck another one on top. In private QR codes we explain why where a code is generated matters, and in how to create a QR code for free you have the available types.

Frequently asked questions

Can scanning a QR infect my phone on its own?

Not under normal conditions: reading the code only decodes a text. The risk starts when you open the link and, above all, when you enter data or install something on the destination site. That's why the step that matters is seeing the content before opening it.

Does the reader work with paper QR codes, screens and blurry photos?

With paper and screens, yes, from the camera or from a photo. If the image is very blurry, very small or low-contrast it may not read; crop the image so the code takes up more space or get closer with the camera.

What if I already opened a suspicious QR and entered data?

Change that service's password immediately (and anywhere else you reused it), alert your bank if you gave card details, and review your transactions. If you can't remember different passwords, our password generator and a password manager take the problem away.

Conclusion

The QR isn't the enemy; the habit of opening it blindly is. A single intermediate step —seeing the real domain and the full content— defuses almost every QR scam. The EzzyApps QR code reader does that step in seconds, from an image, a screenshot or the camera, uploading nothing and opening nothing you haven't decided to open yourself.