ACTUALITZACIÓ — AGOST DE 2026

Quatre anys després de publicar aquest article, els codis QR han deixat de ser una novetat per convertir-se en un gest quotidià. Però el risc no ha desaparegut.

El quishing o QR phishing utilitza codis QR fraudulents per conduir l'usuari a webs falses, obtenir credencials o dades personals i, en alguns casos, instal·lar programari maliciós.

El risc també ha entrat a l'empresa. Un QR incorporat en un correu electrònic o en un document PDF pot traslladar l'acció de l'ordinador corporatiu al telèfon mòbil de l'usuari i dificultar alguns dels controls habituals de seguretat.

Per això, abans d'escanejar un QR, continua sent necessari comprovar-ne l'origen i, sobretot, verificar l'adreça web de destinació abans d'introduir-hi cap dada.

Article publicat originalment el 27 de juliol de 2022

Des del tancament d'establiments de restauració, comerços, teatres… durant la pandèmia, les petites quadrícules en blanc i negre que conformen els codis QR s'han posat de moda.

Des de menús de restaurants fins a cupons de botigues i anuncis a estacions de metro, la verificació de l'estat de vacunació als aeroports i estacions de tren, durant la pandèmia, els QR van reemplaçar el paper per donar informació sense contacte.

No hi ha millor manera, sense posar en perill la salut per contagi tàctil, que oferir els productes i serveis de les empreses i organitzacions que presentant el codi QR a través del qual anem a la pàgina web de l’empresa o organització en qüestió i on podem llegir les característiques dels productes i serveis que ofereixen. Els ciberdelinqüents això ho saben i per això les seves malifetes no han parat de proliferar.

Abans d'obrir l'enllaç, comprova l'adreça web a la qual dirigeix el QR. Fixa't especialment en el domini: que correspongui realment a l'empresa o organisme que esperes i que no contingui petites variacions, lletres substituïdes o dominis estranys. Que una pàgina utilitzi HTTPS no garanteix, per si sol, que sigui legítima.

Aquest tipus de ciberatac està passant amb molta freqüència a tot el planeta. Accessibles i fàcils de produir, els codis QR són també el vehicle perfecte perquè els ciberdelinqüents s'apoderin de la teva informació personal.

Alguns exemples:

• Filtracions i falsificació de claus privades per signar passaports Green Pass de la UE a la tardor passada es van vendre en pocs dies a la Dark Web.
• Falsificació de multes d'aparcament amb codis QR que facilitaven el pagament col·locades al parabrises dels cotxes aparcats al carrer a la
• Un codi QR fals, va utilitzar una funció legítima d'una app de banca digital per estafar els clients del banc, als Països Baixos.
• Hi va haver un enviament de correus electrònics falsos que contenien codis QR a clients de banca electrònica i els dirigien a llocs web maliciosos a Alemanya.

CyberArk facilita, en un article, consells sobre el que has de saber abans d’escanejar en un codi QR. Els reproduïm a continuació.

7 formes d’evitar que els codis QR robin les teves dades

1. Redueix la velocitat. Abans d'escanejar qualsevol codi QR, pregunta't “estic segur/a que no ha estat manipulat?”, “té sentit utilitzar un codi QR en aquesta situació?”

2. ¡No l’escanegis! Si notes alguna cosa estranya, no escanegis el codi QR. Adreceu-vos directament al lloc web real, que ha de tenir una URL associada i que permeti consultar-la directament. Si no hi és, alerta!

3. Inspecciona les URL dels codis QR. Abans d'escanejar el codi QR, consulteu l'URL on us dirigiu abans de continuar. Coincideix el nom de l'empresa associat al codi QR? Sembla sospitós o inclou errors ortogràfics estranys o errors tipogràfics? Una altra possibilitat és fer una cerca ràpida a la web de la URL per confirmar que el codi QR és fiable.

4. Busca signes de manipulació física. En llocs on els codis QR es fan servir molt, com als restaurants, això és molt important. No te'n refiïs, si veus una etiqueta de codi QR adherida sobre un altre codi!

5. No descarreguis mai aplicacions des de codis QR. Els ciberdelinqüents poden clonar i falsificar llocs web fàcilment. Per això aconsellem anar, sempre, al marketplace d'aplicacions oficial per al sistema operatiu del vostre dispositiu i descarrega-hi les aplicacions.

6. No realitzis pagaments electrònics per mitjà de codis QR. Fes servir l'aplicació nativa o dirigeix-te al domini oficial i inicia-hi sessió.

7. Activa l’autenticació multi factor (MFA).  Amb una altra capa d'autenticació implementada, un delinqüent cibernètic no pot accedir a les teves dades amb només el nom d'usuari i la contrasenya i protegeixes les apps bancàries, el correu electrònic i les xarxes socials.

Fes servir sempre el sentit comú. Els codis QR s'han convertit en un dels mètodes de  Phishing preferits dels atacants.

Actuar amb precaució i aplicar els mateixos criteris de seguretat que amb qualsevol altra activitat a l'àmbit digital, és el més aconsellable.