La respuesta corta
Una estafa con código QR en Telegram mete la parte peligrosa dentro de una imagen, donde un filtro de texto no ve nada. La peor variante muestra un código QR de inicio de sesión de Telegram como si fuera un paso de verificación: si lo escaneas desde tus ajustes de Dispositivos, el estafador inicia sesión en tu cuenta. Nunca escanees un código para verificarte, y cierra las sesiones desconocidas en Ajustes, dentro de Dispositivos.
Datos clave
- Telegram inicia sesión en un dispositivo nuevo cuando una app que ya tiene la sesión iniciada escanea el código QR que ese dispositivo muestra. Un estafador puede mostrarte ese código.
- Las propias apps de Telegram describen así un QR de inicio de sesión: el código se puede utilizar para permitir que alguien inicie sesión en tu cuenta de Telegram.
- La verificación real de un grupo nunca necesita que escanees un QR con tu cuenta, ni tu código de inicio de sesión.
- Un filtro que solo lee texto ve una imagen como una imagen. El texto de la estafa y el enlace que lleva dentro pasan sin que nadie los lea.
- Los códigos QR no son malos en sí mismos. Telegram permite convertir cualquier enlace de invitación en uno.
- Los permisos de Telegram restringen tipos de contenido para todos los miembros a la vez. Los límites solo para recién llegados necesitan un bot.
¿Por qué los estafadores usan imágenes y códigos QR?
Porque la mayoría de los filtros leen texto, y una imagen no tiene texto. Una frase escrita en una captura de pantalla son píxeles. Un enlace dentro de un código QR son píxeles. Una lista de palabras, un bloqueador de enlaces y un bot de palabras clave miran el mensaje y no encuentran nada que revisar.
Hay una segunda razón. Un código QR esconde a dónde lleva. No puedes leer la dirección antes de escanearlo, y en un teléfono el escaneo muchas veces abre el destino de inmediato.
¿Cómo son estas estafas?
| Estafa | Lo que te muestran | Qué pasa si lo escaneas o lo sigues |
|---|---|---|
| Robo de sesión por QR | Una página o una imagen de "verificación" con un código QR de inicio de sesión de Telegram | El dispositivo del estafador inicia sesión en tu cuenta de Telegram |
| Bot de "escanea para verificar" | Un bot o una página que dice que los miembros nuevos deben escanear para demostrar que son humanos | Lo mismo, o te lleva a una página que te pide tu código de inicio de sesión |
| Código QR de wallet | Un código para hacer "claim", "sincronizar" o "validar" con tu wallet cripto | Conecta tu wallet al sitio del estafador, que después te pide aprobar una solicitud |
| Texto de estafa en una imagen | Una captura de un "anuncio", un sorteo o una oferta de trabajo, con un enlace o un nombre de usuario al que escribir | Te lleva a un sitio o a un chat privado donde ocurre la estafa de verdad |
| "Escanea para reclamar" | Una imagen con solo un código QR y una promesa | Abre un enlace que nada en el chat pudo revisar |
Las propuestas de sorteos y de premios por reclamar también llegan como texto plano. Estafas de airdrop y sorteos falsos cubre esa parte.
¿Cómo funciona el robo de sesión por QR?
Abusa de una función real de Telegram. Cuando inicias sesión en un equipo nuevo, Telegram muestra un código QR en esa pantalla. Abres Ajustes > Dispositivos en tu teléfono y lo escaneas. El dispositivo nuevo queda con la sesión iniciada.
El estafador empieza ese inicio de sesión en su propio dispositivo y obtiene un código. Te lo muestra en una página que parece un paso de verificación. Si lo escaneas desde tus ajustes de Dispositivos, acabas de conectar su dispositivo. Puede leer tus chats, escribirles a tus contactos haciéndose pasar por ti y quedarse con los grupos que administras.
Las propias apps de Telegram describen un código de inicio de sesión sin rodeos: se puede utilizar para permitir que alguien inicie sesión en tu cuenta de Telegram. Escanea solo uno que esté en tu propia pantalla, de un inicio de sesión que empezaste tú.
Un robo parecido te pide el código de inicio de sesión que te envió Telegram. Telegram dice que esos códigos nunca deben compartirse con nadie.
¿Qué deben hacer los miembros?
- Nunca escanees un código para "verificarte". La verificación real es un botón, un acertijo o una pregunta dentro de Telegram.
- Nunca escanees un QR de inicio de sesión que no empezaste tú. Si no estás iniciando sesión en un dispositivo nuevo en este momento, no hay nada que escanear.
- Trata un código QR como un enlace que no puedes leer. Si la misma oferta en un enlace normal se vería mal, el código también está mal.
- No conectes una wallet desde un código que apareció en un chat. Entra tú al sitio del proyecto, desde una dirección en la que ya confías.
- Repórtalo. Toca el mensaje, elige Reportar y después avisa a los admins del grupo.
Si ya lo escaneaste:
- Abre Ajustes > Dispositivos y cierra todas las sesiones que no reconozcas.
- Activa la Verificación en dos pasos en Ajustes > Privacidad y seguridad.
- Si había una wallet de por medio, desconecta el sitio, revoca las aprobaciones y mueve lo que quede a una wallet nueva.
- Avisa a tus contactos y al grupo. Puede que el estafador ya esté escribiendo en tu nombre.
¿Qué pueden hacer los admins?
- Restringe el contenido multimedia si el grupo no lo necesita. Los Permisos de Telegram pueden impedir que todos los miembros publiquen ciertos tipos de contenido.
- Restringe el contenido multimedia solo a los recién llegados. La mayoría de las cuentas de estafa publican su única imagen pronto. Los permisos de Telegram se aplican a todos a la vez, así que los límites solo para miembros nuevos necesitan un bot.
- Fija la regla. "Nunca te pediremos que escanees un código QR ni que compartas un código para verificarte."
- Audita tu bot de verificación. Revisa su @usuario exacto y qué les pide hacer a los miembros nuevos. Consulta cómo proteger un grupo de los estafadores.
- Usa un bot que lea imágenes. Debería leer el texto dentro de una imagen, decodificar un código QR y juzgar ambos como si alguien los hubiera escrito.
No prohíbas los códigos QR por completo, salvo que quieras hacerlo. Tienen usos honestos: Telegram permite convertir cualquier enlace de invitación en uno.
Targa lee imágenes en todos los planes. Las fotos, los stickers, los archivos de imagen y las portadas de video se leen como texto. Una propuesta escrita en una captura de pantalla, o un enlace escondido en un código QR, se revisa exactamente igual que un mensaje de texto. También puede limitar los enlaces y el contenido multimedia de los miembros nuevos durante sus primeros días. Cada acción lleva un motivo que puedes leer con /why.
Los límites, dichos sin rodeos. El texto dentro de las imágenes se lee en inglés, ruso y chino, además del idioma que tenga configurado tu grupo. Una imagen escrita en otro idioma se puede escapar. Y Targa ve tu grupo, no el sitio web del estafador ni los chats privados de tus miembros. Un código enviado por mensaje privado nunca pasa por un bot. Por eso importa la regla fijada. Para la parte de los mensajes privados, consulta la estafa del admin falso, y para ver qué deja ver tu grupo, haz la revisión gratis del grupo.
Preguntas frecuentes
¿Alguien puede quedarse con mi cuenta de Telegram con un código QR?
Sí, si es un código de inicio de sesión de Telegram y lo escaneas desde Ajustes, dentro de Dispositivos. Así es como Telegram conecta un dispositivo nuevo. El estafador abre una pantalla de inicio de sesión, te muestra su código QR como si fuera un paso de verificación, y al escanearlo su dispositivo queda con la sesión iniciada en tu cuenta.
Escaneé un código QR y ahora estoy preocupado. ¿Qué hago?
Abre Ajustes, luego Dispositivos, y cierra todas las sesiones que no reconozcas. Activa la Verificación en dos pasos en Privacidad y seguridad. Si conectaste una wallet, desconecta el sitio desde la wallet, revoca las aprobaciones que hayas dado y mueve tus fondos.
¿Por qué el filtro de mi grupo no detectó una estafa publicada como imagen?
Porque lee texto, y una imagen no tiene. La propuesta, el enlace y el código QR son solo píxeles. Para detectarlos hace falta un bot que lea el texto dentro de las imágenes y decodifique los códigos QR, y que después juzgue lo que encuentra.
¿Es seguro escanear un código QR publicado en un grupo de Telegram?
Trátalo como un enlace que no puedes leer. Un código QR publicado por una cuenta nueva que promete una recompensa, una verificación o un “claim” casi siempre es una estafa. Uno publicado por los admins conocidos del proyecto con un fin conocido, como un enlace de invitación, es normal.
¿Debería prohibir las imágenes en mi grupo?
Solo si tu grupo no las necesita. Los permisos de Telegram desactivan el contenido multimedia para todos los miembros. Una opción más suave es bloquearlo solo para los miembros nuevos y quitar el límite más adelante, y para eso hace falta un bot.
Mira lo que ve un estafador en tu grupo
La revisión gratuita lee las señales públicas de un grupo y muestra dónde está expuesto. No necesitas cuenta.