En este artículo
En alguna terraza, en un food hall o en una mesa junto a la ventana, alguien está pegando hoy una pegatina sobre un código QR que ya estaba ahí. Esta vez no en un parquímetro, sino en el código que tus clientes usan para abrir la carta, hacer un pedido o pagar la cuenta. La pregunta no es si esto puede pasar. La pregunta es con qué frecuencia ya está pasando, por qué casi nadie se da cuenta, y qué cuesta de verdad frente a lo que cuesta la solución.
Hace cuatro años, casi ningún restaurante tenía un código QR en la mesa. Hoy, la mayoría tiene al menos uno: para la carta, para pedir, y en un número creciente de locales, también para pagar la cuenta. Ese cambio ocurrió a toda velocidad, y mientras tanto casi nadie se ha parado a hacerse una pregunta muy sencilla: ¿cómo sabe realmente un cliente que la pegatina que escanea es de verdad la tuya?
La respuesta honesta es que no lo sabe. Un código QR es un patrón en blanco y negro sin remitente reconocible — sin logo, sin barra de direcciones que comprobar, sin ese instinto de "¿esto tiene buena pinta?" que activa un enlace sospechoso en un correo. Eso es exactamente lo que lo convierte en el objetivo perfecto para lo que los investigadores en ciberseguridad llaman "quishing": código QR más phishing.
Este artículo no trata sobre las ventajas de pedir por QR — eso ya está tratado en otra parte de esta web, y esas ventajas son reales. Trata sobre lo que pasa cuando alguien que no eres tú pega una pegatina en tu propia mesa, y es la contrapartida física de la guía de ciberseguridad que esta web ya publicó sobre cómo proteger tus propios sistemas — aquí el ataque no toca ni tu wifi ni tu TPV, solo el trocito de papel de la mesa 4.
Siete cifras, en este orden: por qué este problema solo existe ahora, cómo es el cambiazo en la práctica, por qué tus clientes no lo ven, cuánto cuesta de media una pegatina escaneada, la cuenta que hace que le merezca la pena a un delincuente, qué dicen ya la policía y las autoridades al respecto, y la solución que casi no cuesta nada.
Por qué "solo es una pegatina" mantiene vivo el problema
La mayoría de los locales no tiene ninguna rutina para comprobar sus propios códigos QR, por la misma razón que con un cliente que se va sin pagar: nunca se ha pensado explícitamente en ello. Una pegatina se coloca una vez, en la apertura, y después nadie vuelve a mirarla — salvo cuando se despega o se ensucia.
Esa es exactamente la ventana en la que vive este fraude. Una pegatina de reemplazo, del mismo color y más o menos el mismo tamaño que la original, pasa desapercibida en un servicio con mucha gente — ni el cliente, ni el camarero que pasa con cuatro platos a la vez, ni el dueño, que está gestionando la sala en lugar de inspeccionar cada mesa, se dan cuenta.
El resto de este artículo se apoya en lo que realmente se sabe: por qué esta superficie de ataque solo existe ahora, cómo es el cambiazo en la práctica, cuánto cuesta cuando sale mal, y el único hábito que reduce el riesgo más rápido — no un sistema nuevo, sino un código QR que no es fácil de sustituir.
Guía gratis Todo lo digital de tu negocio, en una sola guía Desde pedidos por QR hasta ciberseguridad — la guía completa sobre la parte digital de tu restaurante. Leer la guía7 cifras que la mayoría de los locales nunca ha buscado
Cada una de estas cifras se sostiene por sí sola, y procede de una fuente oficial o de un estudio publicado — ninguna cifra de abajo es una estimación de esta web. Juntas explican por qué una pegatina QR no es decoración, sino una pieza de infraestructura de pago que merece tanta atención como tu TPV.
1. Por qué este problema solo existe ahora
Antes de 2020, esta superficie de ataque apenas existía: los códigos QR en las mesas de restaurante eran una curiosidad, no una infraestructura. Eso ha cambiado. Hoy, en todo el mundo, el 75 % de los restaurantes usa un código QR para la carta, para pedir o para pagar — un cambio que ha ocurrido en menos de cinco años.
Cada código QR que añades es un trozo más de confianza que le pides a un cliente sin que este pueda verificar adónde le lleva. Con una sola pegatina en la mesa, eso es un riesgo limitado. Con una carta, un botón de pedido y un enlace de pago, son tres oportunidades que un delincuente puede aprovechar.
Eso no es motivo para renunciar a los códigos QR — la comodidad y el ahorro de costes son reales, y esta web ya lo ha tratado por separado. Sí es la razón por la que merece la pena el resto de este artículo: la superficie de ataque es nueva, y en la mayoría de los locales los hábitos para protegerla todavía no lo son.
Cuatro cifras, cada una de una fuente distinta — juntas, la razón por la que hoy una pegatina QR es un objetivo más atractivo que hace cinco años.
Fuentes: KeepNet Labs / CNBC (julio de 2025) para las cifras de crecimiento y detección; datos de adopción del QR de estudios del sector sobre el uso de QR en restaurantes, 2025.
2. Cómo es el cambiazo en la práctica
El método es sorprendentemente sencillo, y eso es exactamente lo que lo hace funcionar: un delincuente imprime una pegatina con su propio código QR, de un tamaño parecido y sobre un material similar al original, y la pega directamente encima del código existente. Sin allanamiento, sin necesitar ningún conocimiento técnico de tus sistemas — solo el acceso a la mesa durante el tiempo que se tarda en pegar una etiqueta.
La Policía Federal belga alertó explícitamente de esto después de que unos parquímetros en Bruselas fueran atacados exactamente así: una pegatina falsa sobre el código QR real, que redirigía a los usuarios a una página de pago falsa. La FTC estadounidense y el Departamento de Transporte de Nueva York emitieron avisos casi idénticos tras incidentes similares en parquímetros y cargadores de coches eléctricos.
Las mesas de restaurante están en esa misma lista de objetivos, junto con cartas, carteles y terminales de pago — cualquier lugar donde un código QR pueda quedarse sin vigilancia durante un rato. El mecanismo es siempre el mismo: el cliente escanea lo que cree que es el original, y llega a una página diseñada para parecerse exactamente a él.
3. Por qué tus clientes no lo ven
Un código QR no muestra su destino antes de escanearlo. Con un enlace en un correo, puedes pasar el ratón por encima y ver la URL real — con un cuadradito en blanco y negro en una pegatina, sencillamente no puedes. Además, el móvil confía más rápido en un enlace abierto a través de la cámara que en ese mismo enlace en un correo, precisamente porque escanear un código QR se siente como un gesto físico y "seguro".
Un estudio sobre el comportamiento de los consumidores frente al quishing, analizado por CNBC a partir de datos del FBI, la FTC y agencias estatales, muestra que solo el 39 % de las personas reconoce un código QR falsificado antes de escanearlo. Dicho de otro modo: el 61 % no ve ninguna diferencia entre tu pegatina real y la que alguien ha pegado encima.
Esto no es cuestión de clientes despistados. Una pegatina que tiene un aspecto idéntico, está en el mismo sitio y transmite la misma sensación de "escanéame" está diseñada para explotar exactamente esa confianza — tanto en un cliente atento como en uno con prisa.
4. Cuánto cuesta de media una pegatina escaneada
Cuando un cliente escanea el código falso, pasa una de dos cosas. La página parece una pantalla de pago y pide los datos de la tarjeta, que van directos al delincuente — así que la cuenta nunca llega a pagarse en tu negocio, mientras el cliente cree que sí ha pagado. O la página imita tu carta o tu sistema de pedidos y recopila en segundo plano credenciales o información personal que después se usa para suplantación de identidad.
Un análisis de CNBC basado en datos del FBI, la FTC y agencias estatales (julio de 2025) cifra la pérdida media por víctima de quishing en 1.225 $ — unos 978 € al cambio. Esa cantidad es por escaneo exitoso, no por local: una sola mesa vulnerable puede verse afectada varias veces antes de que alguien se dé cuenta.
Para tu negocio, el daño es doble. La cuenta "pagada" a través de la página falsa nunca llega a tu cuenta bancaria — y el cliente que se siente estafado te culpa a ti, no al delincuente que puso la pegatina. Esa segunda parte, la confianza del cliente, no figura en ninguna contabilidad, pero muchas veces es la que más pesa.
5. La cuenta que hace que le merezca la pena a un delincuente
Imprimir y plastificar una pegatina falsa apenas le cuesta a un delincuente unos pocos euros — el mismo material y la misma impresora que para una pegatina real. Frente a una pérdida media de más de mil euros por escaneo exitoso, es una rentabilidad que pocas otras formas de fraude pueden igualar.
Esa cuenta también explica por qué el quishing crece tan rápido. Según datos de la empresa de ciberseguridad KeepNet Labs, citados por CNBC, los ataques de quishing han aumentado un 587 % desde 2023 — calificados por el propio FBI como la forma de phishing que más rápido crece. Mientras tanto, el 26 % de todos los enlaces maliciosos se envía ya a través de un código QR, en lugar de un correo de phishing tradicional.
Para un delincuente, un código QR de mesa en un restaurante es exactamente el objetivo idóneo: barato de falsificar, difícil de distinguir del original, y con la garantía de que varias personas lo escanearán a lo largo de un mismo servicio.
Lo que le cuesta el fraude a un delincuente, frente a lo que le cuesta a una víctima — con la protección en algún punto intermedio.
La última barra es la pérdida media por escaneo de quishing exitoso (CNBC, julio de 2025), convertida a tu propia moneda. Las dos primeras son cantidades orientativas de orden de magnitud, no una lista de precios exacta.
6. Qué dicen ya la policía y las autoridades al respecto
Esto no es un escenario hipotético inventado por esta web — es un problema que los gobiernos reconocen explícitamente. El FBI estadounidense advirtió por primera vez en enero de 2022 sobre delincuentes que manipulan códigos QR para redirigir a las víctimas a sitios web maliciosos, y ha repetido ese aviso varias veces desde entonces, la más reciente en 2025.
Más cerca de casa, la Policía Federal belga advirtió explícitamente sobre el "quishing" después de que unos parquímetros en Bruselas fueran atacados de esta forma, y el FOD Economie (la autoridad belga de asuntos económicos) publicó su propia página para consumidores sobre códigos QR usados para "pagar" una factura falsa. Ambas instituciones mencionan en la misma frase las mesas de restaurante, los parquímetros y los terminales de pago como puntos vulnerables.
Ese nivel de reconocimiento oficial es en sí mismo una cifra a tener en cuenta: cuando tanto el FBI estadounidense como la Policía Federal belga describen, de forma independiente, exactamente el mismo método, no estamos ante un incidente aislado — es un patrón de fraude establecido para el que tu negocio debería estar preparado.
7. La solución que casi no cuesta nada
La protección más barata es la más sencilla: deja de tener tu código QR como una pegatina reemplazable suelta. Plastifícalo dentro del tablero de la mesa, grábalo en un atril, o imprímelo directamente en la carta en lugar de como pegatina suelta — cualquier formato que haga visible una pegatina puesta encima hace la mayor parte del trabajo.
La segunda capa no cuesta ningún material, solo un hábito: incluye la comprobación de cada código QR de mesa en tu ronda de apertura y cierre. Esta web ya lo ha tratado por separado — es exactamente el tipo de control breve y recurrente para el que existe esa checklist, y una pegatina puesta encima de otra salta a la vista de inmediato con una mirada atenta.
La tercera opción, para quien aun así prefiera trabajar con pegatinas sueltas: un código QR dinámico que cambia por pedido o por día, generado directamente desde tu propio TPV en lugar de imprimirse una vez y reutilizarse durante años. Un código que mañana ya no sea válido deja de ser un objetivo atractivo para un delincuente.
Calcúlalo para tu negocio
Rellena tus propias cifras. El porcentaje de incidentes viene por defecto con una suposición prudente — no existe una frecuencia fiable por restaurante para este tipo de fraude, así que esto es un ejercicio de reflexión, no una predicción.
Esto no es contabilidad: lo importante no es la cantidad exacta, sino si la columna "exposición" supera a la columna "protección" con las suposiciones que son realistas para tu negocio.
Exposición anual frente al coste de evitarla
Rellena tus propios números — el resto se calcula solo.
—
Porcentaje de incidentes por defecto: 1 % de las semanas — una suposición prudente, no una frecuencia medida. Cámbiala por tu propia estimación sin ningún problema.
Esto es un ejercicio de reflexión con tus propias cifras, no una garantía contable — sustituye cada suposición por tu propia experiencia.
Lo que la herramienta no mide: la confianza del cliente que se siente estafado y te culpa a ti, no al delincuente que puso la pegatina. Ve la cifra 4 de arriba — esa parte del daño no aparece en ninguna contabilidad.
Y lo que nunca sustituye: la cifra 7 sigue siendo válida sea cual sea el resultado del cálculo — un código QR que no es fácil de sustituir cuesta, en cualquier escenario, menos que solo la protección que calcula esta herramienta.
Cómo resolverlo mañana mismo, sin un sistema nuevo
Tres pasos, en este orden — no porque el resto no cuente, sino porque estos tres son los que más rápido afectan a lo que un código QR falso te cuesta de verdad.
1. Haz que cada código QR sea difícil de sustituir
- Plastifica, graba o imprime tus códigos QR directamente sobre el material — nunca como una pegatina suelta que en su día pegaste deprisa.
- Haz lo mismo con cualquier código que no esté en la mesa: cartas, carteles y el propio terminal de pago.
- Un código que se estropea visiblemente si alguien pega algo encima es al instante un objetivo menos atractivo.
2. Incorpora el control a una rutina que ya existe
- Añade "comprobar los códigos QR" a tu ronda de apertura y cierre — mira la checklist de arriba.
- Basta con un vistazo rápido por mesa al montarla; una pegatina puesta encima de otra salta a la vista de inmediato.
- Repite el mismo control en carteles y terminales de pago, no solo en las mesas.
3. Compara el coste con la protección, no con un solo incidente
- Usa la calculadora de arriba con tus propios volúmenes de pedidos y tu cuenta media.
- Compara esa cantidad con lo que costaría plastificar, grabar o usar un código dinámico desde tu TPV.
- Repite la cuenta cada vez que crezca notablemente tu proporción de pedidos o pagos por QR.
La respuesta corta
Un código QR manipulado en tu mesa no es un escenario descabellado — es un patrón de fraude que el FBI, la Policía Federal belga y el FOD Economie han confirmado cada uno por su cuenta, y que crece precisamente porque los propios restaurantes han pasado en masa a los códigos QR.
El daño es doble: la cuenta que nunca llega a ti, y el cliente que pierde la confianza en un negocio que no tuvo nada que ver. Ambas partes cuentan, aunque solo una aparezca en una contabilidad.
La solución es pequeña comparada con lo que evita: haz que tus códigos QR sean difíciles de sustituir, e incorpora su revisión a una ronda que ya haces de todos modos.