La verificación se complica: el nuevo reCAPTCHA de Google y sus implicaciones para todos los usuarios de la red.
Google ha introducido una nueva capa en su sistema reCAPTCHA, la herramienta diseñada para distinguir a los humanos de los bots. Durante años, hemos pasado por pruebas visuales, identificando semáforos, pasos de cebra o bicicletas. Sin embargo, estas pruebas ya no son suficientes frente a la capacidad de la inteligencia artificial.
La evolución de los modelos de IA ha permitido que los sistemas automatizados resuelvan estos acertijos visuales con una precisión cada vez mayor. Esto convierte a los métodos tradicionales de reCAPTCHA en una barrera débil contra el spam y los ataques automatizados.
¿Cómo funciona el nuevo reCAPTCHA con códigos QR?
La respuesta de Google, que comenzó a desplegarse antes del 6 de julio de 2026, implica el uso de códigos QR. Cuando un sitio web usa esta versión de reCAPTCHA, en lugar de un rompecabezas de imágenes, el usuario verá un código QR en su pantalla.
Para verificar que eres humano, se te pide que escanees este código QR con la cámara de tu teléfono móvil. Una vez escaneado, tu dispositivo te redirigirá a una aplicación o página de Google para completar la verificación. Esto es como si un portero de discoteca, en lugar de pedirte el DNI, te pidiera escanear un código para una app que confirme tu identidad.
El objetivo es añadir una capa de dificultad que las IA no pueden replicar fácilmente. Un bot puede ver y procesar imágenes, pero no puede interactuar físicamente con un dispositivo móvil para escanear un código QR en una pantalla externa y luego interactuar con otra aplicación.
La dependencia de los Google Play Services
Aquí es donde la mecánica del nuevo reCAPTCHA revela implicaciones más allá de la mera seguridad anti-bot. La verificación a través del código QR no es un proceso autónomo.
Requiere que tu dispositivo móvil tenga instalados y funcionando los Google Play Services (GMS). Estos servicios son un conjunto de APIs y aplicaciones propietarias que Google instala en la mayoría de los dispositivos Android.
Imagina que para abrir la puerta de tu casa, no solo necesitas la llave, sino también una aplicación específica en tu móvil que solo funciona si tienes ciertos servicios de una empresa en particular instalados. Si tu móvil no tiene esos servicios, la llave, aunque la tengas, no sirve.
Para muchos usuarios, esto no supondrá un problema, ya que la mayoría de los teléfonos Android vienen preinstalados con GMS. Sin embargo, existe una porción de la comunidad que intencionadamente evita estos servicios.
¿Quiénes se ven afectados por esta dependencia?
Los usuarios de versiones “de-googled” de Android, como aquellos que usan distribuciones como LineageOS sin GApps (Google Apps), se encuentran en una situación compleja. Estos usuarios eligen un ecosistema Android sin la supervisión constante de Google.
También afectará a dispositivos que por su naturaleza no pueden o no deben incluir los servicios de Google, como algunos modelos específicos de teléfonos para mercados particulares o dispositivos empresariales con configuraciones de seguridad muy restrictivas. Para ellos, este nuevo reCAPTCHA se convierte en una barrera infranqueable, negándoles el acceso a sitios web que lo implementen.
Esto implica que la elección de cómo configurar su propio dispositivo, o incluso la adquisición de un teléfono que no esté completamente dentro del ecosistema de Google, puede limitar su capacidad para navegar por internet.
El riesgo del QRishing
La normalización del escaneo de códigos QR para procesos de verificación y seguridad introduce otro vector de ataque: el “QRishing”.
El phishing tradicional se basa en enlaces maliciosos enviados por correo o mensaje. El QRishing es similar, pero utiliza códigos QR falsos que, al ser escaneados, dirigen al usuario a sitios web maliciosos o descargan software dañino.
Si los usuarios se acostumbran a escanear códigos QR para “verificarse” en sitios web legítimos, su umbral de sospecha ante un QR malicioso disminuye. Es como si te entrenaran para abrir la puerta a cualquier mensajero porque todos los paquetes que recibes son importantes.
Un atacante podría colocar un código QR fraudulento en un lugar público, en un correo electrónico aparentemente legítimo o incluso en una ventana emergente falsa. El usuario, pensando que está realizando una verificación de seguridad, podría exponerse a robo de credenciales o infecciones de malware.
Implicaciones para la privacidad y el control
Al vincular la verificación humana a los Google Play Services, Google refuerza su control sobre la identidad digital de los usuarios. Cada vez que escaneas un QR para reCAPTCHA, esa interacción se asocia con tu dispositivo y, potencialmente, con tu cuenta de Google.
Esto permite a Google construir un perfil más completo de tus hábitos de navegación y las interacciones que realizas en la web, incluso cuando visitas sitios que no son de Google. Es una forma de centralizar aún más la identidad y el comportamiento en línea.
Desde la perspectiva de la seguridad, la intención es buena: detener a los bots. Pero desde la perspectiva del funcionamiento interno y el control, se añade una capa más de dependencia y, para algunos, de vigilancia.
En resumen: ¿Qué significa esto para ti?
Para la mayoría de los usuarios con teléfonos Android estándar y Google Play Services, el nuevo reCAPTCHA será un pequeño cambio en la rutina. Escanear un código QR es un paso adicional, pero manejable.
Sin embargo, para aquellos que buscan privacidad o eligen alternativas a los servicios de Google, esta es una barrera significativa. Representa una fricción técnica que puede limitar su acceso a una parte importante de la web.
Además, para todos, aumenta la necesidad de ser extremadamente cautelosos al escanear códigos QR, verificando siempre la fuente y el contexto para evitar caer en trampas de QRishing. La facilidad de uso tiene un precio en la vigilancia.
“La conveniencia de la verificación digital a menudo esconde capas de control y nuevas puertas para el riesgo.”
