Estafa del QR falso en parquímetros y restaurantes (qué hacer)

Un QR falso en un parquímetro o en la mesa de un bar es una pegatina colocada encima del código legítimo. Al escanearla, el móvil abre una web que imita a la del ayuntamiento, a la app de aparcamiento o a la carta del restaurante, y allí te piden pagar o dejar los datos de la tarjeta. El objetivo no es cobrarte 2 euros de estacionamiento: es quedarse con el número de tarjeta, la caducidad, el CVV y, a veces, el código que te llega por SMS para gastarlo después.

Esta práctica se conoce como quishing (phishing con QR). INCIBE y los cuerpos policiales han advertido de ella en los últimos años, y se han visto pegatinas falsas en zonas de aparcamiento regulado de varias ciudades españolas. Como el mobiliario urbano y las apps de pago cambian de un municipio a otro, comprueba en la web de tu ayuntamiento cómo se paga en tu zona.

Cómo funciona la estafa paso a paso

1. El estafador imprime pegatinas con su propio QR y las coloca sobre el código original del parquímetro, del cartel de la zona azul o de la mesa del restaurante. Tarda segundos y casi nunca queda a la vista.
2. Tú escaneas con la cámara del móvil. El enlace abre una página con el logotipo del ayuntamiento, de la concesionaria o del local, casi siempre pensada para verse bien en pantalla pequeña.
3. La web te pide la matrícula, el tiempo de estacionamiento y luego la tarjeta. Algunas te piden instalar una "app oficial", que en realidad es un programa malicioso.
4. Los datos llegan al estafador. Si además le das el código de confirmación de tu banco, puede autorizar compras o dar de alta la tarjeta en un monedero digital.
5. Tú crees que has pagado. El parquímetro real no registra nada y puedes acabar con una denuncia por no tener ticket, además del cargo fraudulento.

En restaurantes la variante es parecida: el QR falso te lleva a una carta falsa que "requiere pago anticipado" o "verificar tu tarjeta para pedir". Nadie te va a pedir el número de tarjeta para enseñarte una carta.

Ejemplo: Javier y los 480 euros

Javier aparca en el centro de una capital de provincia un martes por la mañana. Le toca pagar 2,40 € por dos horas. Escanea el QR pegado en el parquímetro, se abre una web con el escudo del ayuntamiento y mete matrícula, tiempo y tarjeta. Le llega un SMS con un código de su banco y lo teclea. La web le muestra un "pago correcto" y ya está.

Dos horas más tarde, su banco le avisa de un cargo de 480 € en una tienda online que no conoce. Javier había pagado 2,40 €, pero el estafador había usado sus datos y el código para otra operación mucho mayor. Al volver al coche, además, tiene una denuncia de aparcamiento porque su matrícula no consta en el sistema.

Javier llama al banco desde la calle, bloquea la tarjeta y pide que anoten el cargo como no autorizado. Después denuncia y reclama por escrito. Le quedan dos frentes abiertos: recuperar los 480 € y recurrir la multa con las capturas de la web falsa y el justificante de la denuncia.

Qué hacer si ya escaneaste el QR

Lo que debes hacer depende de hasta dónde llegaste.

Si no estás seguro de qué llegaste a introducir, actúa como si hubieras dado los datos. Bloquear una tarjeta cuesta unos minutos; no bloquearla puede costarte cientos de euros y varias semanas de gestiones.

Cómo distinguir un QR legítimo de uno falso

Ninguna señal es infalible, pero varias juntas dan una idea bastante fiable.

Casi todos los móviles muestran la URL antes de abrirla al escanear. Léela entera. Si no coincide con lo que esperas, no abras.

Reclamar al banco si te han cargado

La norma de referencia es el Real Decreto-ley 19/2018, de servicios de pago, que traspone la directiva europea de pagos. Lo básico:

• Plazo para avisar: hasta 13 meses desde el cargo. No esperes tanto: cuanto antes avises, más fácil es todo.
• Devolución: si el cargo es no autorizado, el banco debe devolverte el importe de inmediato y, a más tardar, al final del día hábil siguiente a que se lo comuniques, salvo que tenga indicios de fraude por tu parte y lo comunique al Banco de España.
• Negligencia grave: es el banco quien tiene que demostrarla. Que hayas escaneado un QR no equivale automáticamente a negligencia grave.

Hay un matiz que conviene entender. Si el estafador usó tus datos para operaciones que tú no aprobaste, es un cargo no autorizado. Si tú mismo confirmaste el pago en la web falsa con tu clave, el banco puede sostener que autorizaste esa operación concreta, y ahí la reclamación es más discutible. En ese caso puedes pedir un contracargo si el pago fue con tarjeta, y acudir después al servicio de atención al cliente del banco y al Banco de España. Todo esto lo tienes desarrollado en nuestras guías sobre reclamar un cargo no autorizado y sobre la autenticación reforzada; aquí lo importante es que guardes pruebas desde el primer momento.

Reúne esto antes de reclamar:

• Capturas de la web falsa y del QR (una foto de la pegatina, si puedes).
• Justificantes del cargo y hora exacta de la operación.
• Copia de la denuncia policial.
• Correo o burofax con la comunicación al banco, con fecha.

Errores habituales

• Fiarte de que el QR "está en la calle, será oficial". El mobiliario urbano no verifica nada; cualquiera puede pegar encima.
• Pagar con la tarjeta que usas para todo. Si puedes, usa una tarjeta con límite bajo o una virtual para pagos en la calle.
• Meter el código SMS "para confirmar" sin leer qué operación aprueba. Los mensajes del banco suelen indicar importe y comercio. Si no coinciden con lo que haces, no lo introduzcas.
• Esperar a ver si pasa algo. Los cargos suelen llegar en pocas horas. Cada hora cuenta.
• No avisar al ayuntamiento o al local. Si el QR sigue pegado, el siguiente usuario cae igual.

Nuestra recomendación

Deja de escanear QR físicos para pagar en la calle si tienes alternativa. En un parquímetro, usa la app oficial que hayas descargado tú desde la tienda de aplicaciones, o paga en la máquina con la tarjeta o monedas. En un restaurante, pide la carta en papel o abre la web escribiendo tú la dirección. Es menos cómodo, sí, pero elimina el vector completo. Y activa las notificaciones de cada operación en la app de tu banco: si la tarjeta se usa donde no debe, lo sabes en segundos.

Cuándo conviene denunciar o pedir ayuda

Denuncia siempre que haya cargo o hayas introducido datos, por poco que sea el importe. La denuncia es la base de la reclamación al banco y de un posible recurso contra la multa. Puedes ir a la Policía Nacional o a la Guardia Civil, y si tienes dudas técnicas puedes llamar al 017, la línea gratuita de INCIBE (comprueba en su web el horario vigente). Avisa también a la Policía Local o al servicio de movilidad de tu ayuntamiento para que retiren las pegatinas. Si el banco rechaza la devolución y la cantidad es relevante, un abogado especializado en consumo o una asociación de consumidores pueden acompañarte en la reclamación ante el Banco de España o en la vía judicial.