Una foto con un código QR a la vista, por lo general, no tiene nada de raro: la tarjeta de embarque antes de salir, las entradas de un concierto, la tarjetita de la wifi en la estantería. El problema no es la foto en sí: es que ese cuadradito también se puede leer desde una pantalla, y quien lo lee puede encontrar en él un código de reserva, una entrada válida o las credenciales de tu red. Por eso conviene conocer las señales de que alguien ha usado tu código QR.
Este artículo reúne esas señales, las que pueden aparecer después de que hayas publicado un código: qué significan, dónde se observan y qué hacer cuando encuentras una. En el ámbito técnico se llaman indicadores de compromiso, o IOC (Indicators of Compromise): huellas que sugieren que otra persona ha puesto las manos en algo tuyo.
Es el análisis de diagnóstico de la recomendación de no publicar fotos con códigos QR: tapar el código antes de compartir es la prevención; reconocer las señales sirve cuando la foto ya está en internet, quizá desde hace días, y quieres saber si alguien la ha aprovechado.
Qué son las señales de que alguien ha usado tu código QR
Un código QR es un cuadrado de módulos blancos y negros que contiene una información escrita en un formato que la cámara puede leer: un enlace, un código, un texto. Quien lo enfoca, incluso a partir de una foto en el móvil de otra persona, obtiene exactamente la misma información que obtendrías tú. Cómo está construido y qué puede contener lo explicamos en el artículo sobre cómo funciona un código QR.
Una señal de uso por parte de otros es una huella observable que sugiere que alguien ha leído ese código y se ha servido de él. No es una prueba. Es un motivo para comprobar: puede tener una explicación inocente, como un cambio hecho por la aerolínea o un dispositivo de casa del que te habías olvidado, o bien indicar que el código lo ha usado alguien que lo vio en internet.
El valor de estas señales está en el tiempo: darte cuenta antes del viaje o del evento significa poder pedir un código nuevo y anular el antiguo; darte cuenta en la puerta significa descubrirlo cuando ya es tarde para arreglarlo con calma.
Por qué importan más cuando la foto es pública
Un código QR que enseñas en persona, en el mostrador de facturación o en la entrada de un teatro, lo ve durante unos segundos quien tienes delante. Un código QR publicado sigue a la vista mucho tiempo, ante un público que no controlas: los contactos de tus contactos, quien vuelve a compartir, quien guarda las historias antes de que caduquen.
Por eso una señal hay que leerla sabiendo durante cuánto tiempo y ante cuántas personas ha estado expuesta la foto. Una foto privada retirada al cabo de una hora no es lo mismo que una historia destacada visible para todo el mundo desde hace semanas. Quién ve lo que publicas depende también de a quién has aceptado entre tus contactos, tema de la recomendación de seguir solo a personas conocidas en redes sociales.
Hay además un segundo aspecto: muchos códigos siguen siendo válidos hasta la fecha del viaje o del evento, y los de la wifi hasta que cambias la contraseña. Una foto antigua puede, por tanto, seguir siéndole útil a alguien, aunque tú ya te hayas olvidado de ella.
Indicadores técnicos
Son las huellas que los servicios registran y te comunican: en los correos de confirmación, en el área personal de la web o de la app, en el panel del router. El router es el aparato que crea la red de casa y conecta tus dispositivos a internet.
| Indicador | Qué significa | Por qué es relevante | Dónde se observa | Qué hacer |
|---|---|---|---|---|
| Correo de modificación de la reserva que no has hecho | Alguien ha cambiado datos, horarios o servicios de tu viaje | El código de la foto puede bastar para encontrar la reserva y modificarla | Buzón de correo usado para reservar, apartado «mis reservas» | Entra desde la web o la app oficial, comprueba y ponte en contacto con la aerolínea |
| Cambio de asiento que no has pedido | El asiento asignado es distinto del que elegiste | Es un cambio pequeño, a menudo la primera señal de que alguien ha tenido acceso a la reserva | Correo de actualización, detalles del vuelo o del tren | Comunica la anomalía al servicio de atención al cliente y pide que protejan la reserva |
| Facturación hecha por otra persona | La facturación consta como hecha, pero no por ti | Alguien ha usado tus datos para gestionar el viaje en tu lugar | Correo de confirmación de la facturación, estado de la reserva | Comprueba con la aerolínea si hay que reemitir la tarjeta de embarque |
| Entrada transferida o reemitida | La entrada de un evento aparece a otro nombre o sustituida | Quien tiene el código puede intentar reclamarla como suya | Notificaciones de la taquilla, área personal | Ponte en contacto enseguida con el organizador por el canal oficial |
| Dispositivos desconocidos en la red de casa | En la lista de dispositivos conectados aparecen nombres que no reconoces | Si has publicado el código de la wifi, cualquiera que lo haya escaneado conoce la contraseña | Panel del router o app del operador de la conexión | Cambia la contraseña de la wifi y desconecta los dispositivos desconocidos |
| Inicios de sesión en la cuenta del servicio desde dispositivos nuevos | La web de la aerolínea o de la taquilla avisa de un acceso que no reconoces | Alguien podría haber entrado en la cuenta a partir de los datos leídos en el código | Correos de seguridad, historial de accesos | Cambia la contraseña y activa la autenticación de varios factores si está disponible |
| Dispositivos vinculados a una app de mensajería que no reconoces | La app aparece abierta también en un ordenador que no es tuyo | Algunos códigos QR sirven para asociar un dispositivo nuevo a una cuenta | Apartado «dispositivos vinculados» de la app | Desconecta el dispositivo y revisa los ajustes de seguridad |
La autenticación de varios factores es una segunda verificación, como un código que recibes en el móvil, que se añade a la contraseña.
Señales que puedes observar tú
No exigen abrir ningún panel: se notan en el día a día.
| Señal | Qué significa | Por qué es relevante | Cómo te das cuenta | Qué hacer |
|---|---|---|---|---|
| La entrada ya consta como validada | El código se ha leído en la entrada antes de que llegaras tú | Alguien ha usado una copia de tu entrada | El lector de la entrada la rechaza como ya usada | Pide al personal que lo compruebe y enseña la confirmación de compra y un documento |
| Tu asiento ya está ocupado | Alguien está sentado en tu sitio con un billete que parece válido | Puede ser un error, o bien el uso de tu código | En el tren, en el avión o en la sala | Dirígete al personal sin discutir con la otra persona |
| Mensajes o llamadas que citan los detalles reales de tu viaje | Alguien conoce la fecha, el destino y el código de la reserva | Unos datos verdaderos hacen creíble una petición falsa de pago o de datos | Correos, SMS o llamadas que se presentan como la aerolínea | No respondas con datos ni pagues; compruébalo desde la web o la app oficial |
| La conexión de casa va más lenta de lo normal | Hay más dispositivos de los previstos usando la red | Junto con otros indicios, puede indicar un uso no autorizado de la wifi | Uso diario, vídeos que se cortan | Revisa la lista de dispositivos conectados antes de sacar conclusiones |
| Puntos o saldo desaparecidos de una tarjeta | El saldo de una tarjeta de fidelización o regalo ha bajado | Algunas tarjetas digitales muestran un código QR que vale tanto como la propia tarjeta | Consulta del saldo en la app o en la caja | Bloquea la tarjeta y pide que sustituyan el código |
| Un envío consta como recogido, pero no por ti | El código de recogida se ha usado antes que tú | Quien tiene el código puede recoger el paquete en tu lugar | Aviso de entrega completada, taquilla vacía | Ponte en contacto con la empresa de mensajería y comunica la recogida no autorizada |
La tercera señal merece especial atención: los mensajes construidos con datos verdaderos están entre los más convincentes. Cómo se preparan lo explicamos en el artículo sobre ataques con códigos QR.
Un ejemplo concreto
Sara ha comprado dos entradas para un concierto y publica una historia con la pantalla del móvil en primer plano: «¡Ya las tengo!». Se ven el nombre del grupo, la fecha y el código QR, perfectamente nítido. La historia se queda destacada en el perfil.
Una semana antes del concierto recibe un correo de la taquilla: se ha iniciado sesión en su cuenta desde un dispositivo nuevo. Piensa que habrá usado el ordenador del trabajo y no le da más vueltas.
La noche del concierto, en la entrada, el lector indica que una de las dos entradas ya ha sido validada. Con la confirmación de compra y un documento, el personal la deja pasar, pero lleva su tiempo.
La primera señal ya era suficiente. Leída por sí sola, parecía un despiste; leída junto a la historia con el código a la vista, la habría llevado a retirar la foto, cambiar la contraseña y pedir a la taquilla que reemitiera las entradas.
Qué revisar enseguida
En la foto
- si el código sigue viéndose en la publicación, en las historias destacadas o en los álbumes;
- si alguien la ha vuelto a compartir o te ha escrito mencionándola.
En las reservas y las entradas que siguen siendo válidas
- estado de la reserva, asiento asignado, facturación;
- nombre del titular y datos de contacto registrados;
- correos de confirmación o de modificación que no recuerdas.
En la red de casa, si el código de la wifi estaba a la vista
- lista de dispositivos conectados al router;
- red para invitados, si existe, y su contraseña.
En las cuentas de los servicios afectados
- historial de accesos y dispositivos vinculados;
- correo y número de teléfono de recuperación;
- estado de la autenticación de varios factores.
Si encuentras un indicador sospechoso
- Retira o modifica la foto. No borra las copias ya guardadas, pero impide que nuevas personas lean el código.
- Ponte en contacto con el servicio por el canal oficial, escribiendo tú la dirección o abriendo la app, nunca desde los enlaces recibidos: pregunta si el código se puede anular y sustituir.
- Cambia la contraseña de la wifi si el código era el de la red, y después vuelve a conectar solo tus dispositivos.
- Cambia la contraseña de la cuenta del servicio y activa la autenticación de varios factores donde esté disponible.
- Desconfía de los mensajes que citan tus datos en los días siguientes, aunque parezcan venir de la aerolínea.
Para las próximas fotos, las formas más sencillas de hacer ilegible el código están en el artículo sobre cómo tapar un código QR en una foto. Si el código estaba en una tarjeta de embarque, lo que puede ocurrir en los casos más serios lo contamos en el artículo sobre las consecuencias de publicar una tarjeta de embarque.
Lo que no es un indicador
Distinguir sirve para evitar dos errores opuestos: alarmarse por nada y acostumbrarse a pasar por alto las señales reales.
| Situación | Por qué normalmente no es una señal |
|---|---|
| Cambio de horario o de vía comunicado por la compañía | Es un cambio operativo decidido por el servicio, no una modificación hecha por otra persona |
| Facturación automática antes de la salida | Algunos servicios la hacen por su cuenta y te envían la confirmación |
| Correos promocionales después de la compra | Indican que estás en la lista de clientes, no que alguien haya usado tu código |
| Un dispositivo «desconocido» en la red que resulta ser la tele o el altavoz de casa | Muchos aparatos aparecen con nombres técnicos poco reconocibles |
| El lector no lee el código al primer intento | A menudo depende del brillo de la pantalla o de un reflejo |
| Un inicio de sesión nuevo después de cambiar de móvil | Es tu dispositivo nuevo, registrado como tal |
La regla práctica: una señal aislada merece una comprobación; dos señales juntas merecen actuar.
Cuándo hacer estas comprobaciones
No hace falta una rutina exigente. Hace falta saber qué momentos importan.
| Momento | Qué revisar |
|---|---|
| En cuanto te das cuenta de que has publicado un código | La foto, y después el servicio al que pertenece el código |
| Hasta la fecha del viaje o del evento | Correos de modificación, asiento asignado, estado de la entrada |
| El día antes de la salida o del evento | Que la reserva y las entradas sigan a tu nombre y sin cambios |
| Después de publicar una foto con el código de la wifi | Dispositivos conectados al router y, después, la contraseña de la red |
| De vez en cuando, repasando tu perfil | Fotos antiguas e historias destacadas con códigos todavía legibles |
Mirar tu perfil con los ojos de un desconocido sirve también más allá de los códigos QR: en las mismas fotos puede aparecer la ubicación de tu casa, tema de la recomendación sobre desactivar el geoetiquetado de las fotos. En el caso de la wifi, una red para invitados con una contraseña distinta hace mucho menos delicada cualquier tarjetita que quede a la vista.
Dos advertencias importantes
Un indicador no es una prueba. Una aerolínea puede cambiar un asiento por necesidades operativas, un dispositivo de casa puede aparecer con un nombre raro, un lector puede equivocarse. Comprueba antes de alarmarte, pero comprueba siempre, y hazlo por el canal oficial.
La ausencia de indicadores no es una garantía. Quien lee un código puede limitarse a usar la información que contiene, como el nombre, las fechas o el destino, sin modificar nada y sin dejar huellas visibles. Por eso la protección no se basa en observar las señales de que alguien ha usado tu código QR, sino en el hábito que describe la recomendación: el código se tapa antes de publicar. Por qué incluso un código que parece inofensivo puede contener más de lo que imaginas lo encontrarás en el artículo sobre los riesgos de los códigos QR en las fotos.
Conexión con el Framework Cyber Welfare
| Pilar | Aportación de este contenido |
|---|---|
| Competencias | Saber leer los correos de un servicio, el área personal y la lista de dispositivos del router para reconocer un uso no autorizado |
| Concienciación | Entender que un código publicado sigue siendo legible y válido aunque la foto parezca olvidada |
| Comportamiento Seguro | Revisar las fotos ya publicadas y actuar por el canal oficial cuando una señal no cuadra |
Nivel de referencia: FL3 — Autónomo. Es el nivel en el que se relaciona una señal con la foto que la ha hecho posible y se actúa sin necesidad de ayuda externa.
Conclusión
Las señales de que alguien ha usado tu código QR no sirven para mirar con sospecha cada foto que has publicado. Sirven para saber dónde mirar cuando una notificación no cuadra, antes de que el problema aparezca en la puerta de embarque o en la entrada.
Acción inmediata recomendada. Repasa las fotos y las historias destacadas de tu perfil en busca de códigos QR todavía legibles: entradas, tarjetas de embarque, tarjetitas de la wifi. Si encuentras uno ligado a algo que sigue siendo válido, retira la foto y revisa el servicio correspondiente. Para saber en qué punto estás también en los demás aspectos de tu seguridad digital, puedes hacer la autoevaluación de la resiliencia digital.
Recursos relacionados
Contenidos breves de la sección Recursos, para quien quiera detenerse en un solo aspecto:
Contenidos relacionados
- No publicar fotos con códigos QR: la recomendación de referencia
- Ataques con códigos QR: los mecanismos que producen estas señales
- Cómo tapar un código QR en una foto: qué hacer antes de publicar
- Riesgos de los códigos QR en las fotos: qué queda expuesto cuando un código se queda a la vista
Da el primer paso: el Programa «Protege tu Privacidad Digital» te acompaña gratis, una recomendación cada vez.
