Estafas con códigos QR en bares y restaurantes: cómo proteger a tus clientes del «qrishing»
Un cliente se sienta en tu terraza, escanea el código de la mesa y le aparece una página que se parece mucho a una carta, pero que le pide su número de tarjeta «para reservar» o una app «para ver la carta». Él piensa que es cosa tuya. Tú ni siquiera sabes que alguien ha pegado una pegatina encima de tu código.
Es una estafa sencilla, barata para el delincuente y muy dañina para la confianza en tu local. Tiene nombre: qrishing.
¿Qué es el qrishing?
Es una variante del phishing que usa códigos QR para llevar a la víctima a una página fraudulenta. La Policía Nacional alertó sobre ello en abril de 2026, advirtiendo de que lo que parece un QR real puede tener una pegatina encima que lleva a una web falsa, a menudo una réplica casi perfecta de la original, según recogió el diario Menorca.info. La propia información menciona las cartas de restaurante entre los lugares donde se han extendido los códigos.
Una vez en la página falsa, se pide al usuario información personal o bancaria, o se le invita a descargar algo que no debería.
Por qué los bares son un objetivo fácil
- El código está a la vista y al alcance de cualquiera, en una mesa de terraza por la que pasan cientos de personas al día.
- Nadie lo revisa. Se imprime una vez y se olvida.
- El cliente confía. Está en tu local, en tu mesa, junto a tu servilletero. ¿Por qué iba a desconfiar?
- Muchos clientes están acostumbrados a que al escanear se les pida algo: registrarse, descargar una app, poner una tarjeta. La estafa se camufla entre esas prácticas.
Lo que recomienda el INCIBE a los negocios
El Instituto Nacional de Ciberseguridad tiene una guía específica para negocios que usan códigos QR. Sus recomendaciones principales son muy prácticas:
- Comprobar con frecuencia que los códigos QR del local no han sido cambiados ni modificados por terceras personas.
- Comprobar que cada código lleva a la página que dice llevar.
- Desactivar la apertura automática de enlaces al escanear, para poder ver la dirección antes de abrirla.
Y si tienes dudas o crees que has sufrido un incidente, el INCIBE atiende en el 017, su línea de ayuda en ciberseguridad.
Revisión en cinco minutos, antes de abrir
- Pasa la mano por cada código. Una pegatina superpuesta se nota al tacto: un borde, un relieve, un brillo distinto.
- Escanea dos o tres al azar con tu propio móvil y fíjate en la dirección que aparece antes de abrirla.
- Usa soportes difíciles de manipular: códigos impresos bajo metacrilato o integrados en el soporte, no pegatinas sueltas.
- Cuenta al equipo qué tienen que buscar. El camarero que limpia las mesas es quien más veces las ve.
- Ten unas cartas de papel a mano por si algún día tienes que retirar los códigos.
Lo que un cliente debería poder esperar de tu carta
La mejor defensa contra el qrishing es que tus clientes sepan qué es lo normal en tu local. Si tu carta nunca pide datos, ni tarjeta, ni una descarga, cualquier página que lo haga es sospechosa por definición.
Por eso tiene sentido que MenuOnGo sea una carta que solo muestra la carta: no pide registro, ni datos, ni tarjeta, ni app, y se abre siempre en una dirección de menuongo.com que tus clientes pueden comprobar antes de abrirla. Si alguien escanea un código de tu mesa y la página le pide el número de tarjeta, no es tu carta. Además, en la web tienes un generador de códigos QR gratuito para crear los tuyos a partir de la dirección correcta.
Señales de alerta al escanear un código
| Señal | Qué puede significar | Qué hacer |
|---|---|---|
| Pegatina con bordes o relieve sobre el código | Código sustituido | Retirarlo y revisar el resto de mesas |
| Dirección web que no es la de tu carta | Redirección a una página falsa | No abrirla; cambiar los soportes |
| La «carta» pide tarjeta o datos personales | Intento de fraude | Avisar al cliente y denunciar |
| Pide descargar una app para ver la carta | Posible software malicioso | No descargar nada |
| Dirección acortada o con caracteres extraños | Enlace camuflado | Comprobar antes de abrir |
Preguntas frecuentes
¿Qué es el qrishing? Una estafa en la que se usa un código QR, a menudo una pegatina colocada sobre el original, para llevar a la víctima a una página falsa que le pide datos personales o bancarios o le hace descargar software malicioso.
¿Cómo sé si han manipulado el código QR de mi bar? Revisa los códigos al tacto para detectar pegatinas superpuestas y escanéalos con tu propio móvil para comprobar la dirección a la que llevan. El INCIBE recomienda hacerlo con frecuencia.
¿Qué hago si un cliente ha caído en una estafa con el QR de mi local? Retira los códigos afectados, revisa el resto, anima al cliente a contactar con su banco y a denunciar, y consulta al INCIBE a través del 017.
¿Una carta QR debería pedir datos al cliente? Para ver la carta no hace falta dar ningún dato. Si una supuesta carta pide tarjeta, registro o una descarga, conviene desconfiar.
Fuentes: INCIBE (Protege los códigos QR y no pongas en riesgo la seguridad de tus clientes); Policía Nacional (alerta sobre qrishing, abril de 2026, vía Menorca.info). Imágenes: Pexels (uso libre). Datos actualizados a octubre de 2026.
Léelo en tu descanso. Tu carta sigue trabajando.
Treinta días con todas las funciones Pro, importación de la carta incluida, sin pagar nada.