Código QR inesperado en un paquete: qué hacer antes de introducir credenciales

Empieza por situarte en uno de tres estados

Un código QR en un paquete que no esperabas —un remitente desconocido, una etiqueta de “devolución” o “reenvío”, una nota que te pide confirmar una dirección— es un enlace que no solicitaste. La pregunta útil no es “¿es real este paquete?” sino “¿hasta dónde ha llegado este código en mis cuentas?”.

Usa esta tabla para identificar tu estado antes de hacer nada más.

No escanees el código como prueba, ni siquiera en un dispositivo de repuesto. El escaneo es justo el paso que carga la página.

Estado A: el código sigue sin escanear

No necesitas identificar al remitente para protegerte. Necesitas evitar usar la ruta impresa.

1. No escanees el código ni abras ningún enlace corto impreso junto a él.
2. Conserva el embalaje y la etiqueta. Fotografía la etiqueta, la línea del remitente y cualquier número de seguimiento. Esto es para tus propios registros, no una prueba de que el remitente sea legítimo.
3. Comprueba si hay una entrega que realmente pediste. Usa la app de la empresa de transporte o del vendedor, o un sitio al que llegues tú mismo, no el teléfono ni el enlace de la etiqueta.
4. Si el paquete es realmente inesperado y no puedes relacionarlo con un pedido, trátalo como no solicitado. Lo que puedas hacer con él depende de dónde vivas; este artículo no ofrece asesoramiento legal para ningún país.
5. Denúncialo si quieres. En EE. UU., la FTC publica orientación para consumidores sobre mensajes y paquetes fraudulentos. Las vías de denuncia varían según el país, así que acude a tu autoridad local de consumo en lugar de dar por hecho que se aplica un proceso estadounidense.

Un paquete que llega sin un pedido que coincida no es automáticamente un delito, y un código QR no es automáticamente malicioso. La cuestión es que no puedes saberlo solo por la etiqueta, así que no necesitas correr el riesgo para averiguarlo.

La FTC advierte de que un código QR en un paquete inesperado puede llevar a una web de phishing que roba datos de inicio de sesión o de pago, o a malware. Fuente

Estado B: escaneado, pero sin introducir nada

Si el código abrió una página y te detuviste antes de escribir nada, tu tarea principal es confirmar el estado real de la cuenta a través de una ruta que tú controles.

1. Cierra la página o la solicitud de la app. No “inicies sesión para cancelar” ni “confirmes la entrega” en la página que abrió el código.
2. Abre la app oficial del servicio o escribe tú mismo su dirección en una pestaña nueva del navegador. No reutilices el enlace del escaneo.
3. Comprueba si existe el evento que se mencionaba. Si la página decía que un paquete estaba retenido, busca el mismo aviso dentro del área de cuenta de la empresa de transporte o del vendedor. Si no hay nada, la página no era un aviso real.
4. No instales nada de lo que ofrezca la página. Una solicitud de instalación de una app desde un código QR de un paquete no es un requisito de entrega que puedas verificar.
5. Anota lo que pedía la página —contraseña, número de tarjeta, código de un solo uso, tasa de entrega— para poder describirlo con precisión si lo denuncias.

Escanear por sí solo no demuestra que se haya accedido a tus cuentas. El riesgo en este estado es lo que hagas después, así que la siguiente acción segura es dejar de usar la ruta impresa.

Estado C: se introdujeron credenciales

Este es el estado que requiere actuar, y el orden importa.

Si se introdujeron credenciales de cuenta después de escanear ese código, la FTC aconseja cambiar la contraseña y activar la autenticación de dos factores. Fuente

Sigue estos pasos en orden, usando la propia app de la cuenta o una página a la que llegues tú mismo:

1. Cambia la contraseña desde la app o el sitio oficial, no desde la página que abrió el código.
2. Activa la autenticación de dos factores si aún no la tienes. Cuando la cuenta lo permita, prefiere una app de autenticación o una llave de hardware antes que el SMS.
3. Cambia esa misma contraseña en cualquier lugar donde la hayas reutilizado. Una contraseña escrita en una página de phishing debe considerarse conocida por otra persona.
4. Si introdujiste datos de tarjeta o bancarios, contacta con el emisor de la tarjeta o el banco usando el número de tu tarjeta o su app oficial. No uses un número ni un enlace del paquete o de la página escaneada. Este artículo no promete que se pueda revertir un pago.
5. Mantén el acceso a tu método de recuperación hasta que hayas terminado. No elimines tu correo electrónico, número de teléfono ni códigos de recuperación antes de que el cambio de contraseña y la configuración de dos factores estén confirmados y funcionen, o podrías quedarte fuera de la cuenta.
6. Revisa la actividad reciente de la cuenta en la app oficial: ubicaciones de inicio de sesión, apps conectadas, reglas de reenvío y métodos de pago. Deshaz cualquier cosa que no reconozcas.

Eliminar una conexión de inicio de sesión o editar un perfil no es lo mismo que borrar los datos almacenados. Si vas a cerrar una cuenta por completo, sigue el proceso de cierre del propio proveedor y mantén un método de recuperación que funcione hasta que el cierre esté confirmado.

Usa rutas de cuenta conocidas, no el código impreso

Una etiqueta de paquete puede imprimir cualquier dirección, número de teléfono o código QR. No puede demostrar quién es el dueño del destino. Para cualquier decisión sobre una cuenta —restablecer la contraseña, confirmar una entrega, pagar, recibir un reembolso— empieza por una ruta en la que ya confíes:

Si un mensaje dice venir de una cuenta de soporte y te pide trasladar la conversación a una app de chat o “verificar” iniciando sesión, se aplica la misma regla: confírmalo a través de la propia app del servicio. Para esa situación distinta, consulta cómo comprobar cuentas falsas de atención al cliente en redes sociales.

Una coincidencia de nombre de usuario público es una pista, no una prueba de propiedad. Si intentas identificar quién está detrás de un identificador que te contactó, una búsqueda de nombre de usuario como TraceSeek puede mostrar dónde aparece un identificador en más de 3.000 plataformas, pero no cambia la configuración de la cuenta, no emite códigos de recuperación, no recupera dinero ni verifica una identidad real.

Lo que no debes concluir

• No todos los escaneos de QR instalan malware. La FTC describe el phishing y el malware como resultados posibles; no dice que todos los escaneos produzcan uno u otro.
• Una página escaneada que parecía real no es prueba de que lo fuera. Comprueba el evento que se mencionaba dentro de la propia app del servicio.
• Un paquete sin un pedido que coincida no identifica al remitente. No trates un nombre o una dirección de devolución de la etiqueta como verificados.
• Las normas sobre bienes no solicitados varían según el país. Este artículo no extiende ninguna norma nacional a otros mercados.
• Cambiar una contraseña no garantiza la recuperación. Reduce la exposición; que se restaure una cuenta o un pago depende del proveedor.

Una hoja de trabajo breve que puedes copiar

Rellénala antes de actuar, para no tener que reconstruirla después:

• Estado: A / B / C
• Fecha y hora del escaneo (si lo hubo):
• Qué decía ser la página o la solicitud (empresa de transporte, vendedor, banco, otro):
• Qué pedía (contraseña / código de un solo uso / número de tarjeta / tasa / instalación de app):
• Qué introdujiste, si algo:
• Cuentas afectadas:
• Contraseña cambiada: sí / no — desde la app o el sitio oficial: sí / no
• Dos factores activados: sí / no
• Método de recuperación aún accesible: sí / no
• Emisor de la tarjeta contactado (si se introdujeron datos de tarjeta): sí / no
• Denunciado ante (autoridad local, empresa de transporte, vendedor):

Cuando termines, la siguiente acción útil es confirmar cada cuenta afectada desde su propia app: contraseña cambiada, dos factores activados, método de recuperación funcionando y sin sesiones ni apps conectadas que no reconozcas.