Fake QR Codes: The 3-Layer Check That Catches Almost Every Scam

A QR code is a locked box with no label. You can't tell what's inside until you open it, and by then your phone has already done the opening.That's why scammers love them. A fake code looks exactly like a real one, and most people scan first and think later.The good news is that every QR scam has the same three layers. If you check each layer, you'll catch nearly all of them. Here they are.

What a QR Code Really Is

A QR code is a link, a payment request or a command, drawn as a pattern of squares. Your camera reads the pattern and your phone acts on it: it opens a website, starts a payment or offers a download.Because the squares look identical to a human eye, the code itself tells you nothing. So instead of judging the code, we judge what surrounds it.

Layer 1: The Sticker (Check the Physical Code)

This layer applies to codes printed on things in the real world: parking signs, shop counters, posters, parcels.

Ask yourself:

Does it sit on top of another code, or on a flat sticker?

Are the edges peeling, misaligned or slightly raised?

Is it in a public spot where anyone could stick something overnight?

Does the printing look different from the rest of the sign?

Try this: gently run a fingertip over the code. A real printed code is part of the surface. A pasted one feels like a separate layer.

Real example: a car park has "Scan to pay" codes on its meters. One meter has a code that looks slightly glossier than the others. That's the one to avoid. Pay at the machine or through the car park's official app instead.

Layer 2: The Link (Read Before You Open)

This layer applies to every code, including ones in emails and messages.Most phone cameras show a short preview of the address before opening it. That preview is your best friend. Read it.

How to read a web address quickly:

Look at the part right before the first single slash. In pay-parking-fee.example.com/pay, the real site is example.com. Everything before it is decoration that scammers can make up.

Warning signs in a link:

Misspelled brand names or swapped characters

Extra words like "secure," "verify" or "refund" added to a name

A long string of random letters and numbers

A shortened link that hides the destination

A domain you've never heard of for a service that should be well known

Two points to remember:

A padlock or "https" only means the connection is encrypted. Scam sites can have it too.

If the preview doesn't show clearly, don't open it. Find the service another way.

Layer 3: The Ask (Notice What the Page Wants)

This is the layer most people skip, and it's the one that catches the cleverest scams. Even if the sticker looks fine and the link looks reasonable, the page's request can give it away.

Red-flag asks:

A login you weren't expecting

A fee to claim a prize, refund, parcel or job

Your UPI PIN, card PIN, OTP or banking password

An app download from outside the official store

Permission to access your contacts, messages or screen

The most important rule: receiving money never needs your PIN. If someone says "scan this and enter your PIN to get your refund," you're actually sending money out.A menu should show a menu. A parking page should take a parking fee. If a page asks for something unrelated to its purpose, close it.

Putting the Three Layers Together

Here's how it works on different scenes.

Scene Layer 1: Sticker Layer 2: Link Layer 3: Ask

Restaurant table code Looks printed with the menu Shows the restaurant's site Just shows the menu: safe

Code on a lamp post offering a loan Pasted on a pole Unknown domain Asks for Aadhaar and a fee: scam

Code in a "parcel" email Not applicable Odd address Asks you to log in: scam

Shop's payment code Matches the shop's board App shows the shop's name You pay a fixed amount to that name: safe

Notice that you don't need to be an expert. You only need to pause on whichever layer looks off.

A 10-Second Routine

Before scanning anything in public, do this:

01.Look at the sticker. Is it tampered with?

02.Scan, then read the preview. Does it match the service?

03.Check the ask. Is it reasonable for this situation?

04.If anything feels off, stop. Use the official app or website instead.

For Shop Owners: Protect Your Own QR Code

If you display a payment or menu code, scammers might stick theirs over yours.

Check your code every day. Run a finger over it and scan it yourself.

Place it behind the counter or inside a frame where customers can't easily reach it.

Print your shop name next to the code and on your payment board, so customers can confirm the name in their app.

Use a code that shows your shop name in the payment app, and encourage customers to check it before paying.

Tell your staff to report any new or odd sticker.

Keep payment alerts on so you hear every payment as it arrives.

A shop owner who checks the code each morning stops most tampering before a single customer is fooled.

If You Scanned a Fake Code

Don't panic. Move through these steps in order.

01.Close the page and don't type anything else

02.Passwords: if you typed one, change it right away on the real site, and anywhere you reused it

03.Card or bank details: call your bank on its official number and ask them to block the card

04.UPI or transfer: contact your bank and your payment app immediately and report the transaction

05.App installed: delete it, then run a security scan and review the permissions you granted

06.Report it to your country's official cybercrime service, and to the platform where the code appeared

Keep screenshots, receipts and the link if you can. They help your bank and investigators.

Habits That Make You Harder to Fool

Use your phone's built-in camera to scan, not random scanner apps

Don't scan codes from unexpected messages or emails

Set daily limits and alerts in your banking and payment apps

Keep your phone and apps updated

Turn on two-factor authentication for key accounts

Use a password manager, which won't fill a login on a fake site

Common Mistakes

Trusting a code because it looks neat. Anyone can print one.

Skipping the preview. It takes one second.

Entering a PIN "to receive" money. It sends money out.

Scanning when hurried. Scammers count on rushed decisions.

Staying quiet after a slip. Reporting fast gives the best chance of limiting the damage.

Final Thoughts

You can't read a QR code with your eyes, but you can read everything around it. Check the sticker, read the link and notice what the page asks for. If any layer feels wrong, back out and go the long way through the official app or website. It costs you ten seconds, and it protects you from the scams that rely on you not looking.