El “quishing” utiliza códigos QR para ocultar enlaces fraudulentos y llevar a los usuarios hacia sitios diseñados para robar información
Los códigos QR maliciosos se han convertido en una herramienta cada vez más utilizada por los ciberdelincuentes para engañar a los usuarios y dirigirlos hacia sitios web fraudulentos. Durante el primer semestre de 2026, estuvieron presentes en el 11 % de los correos electrónicos de phishing detectados a nivel global, según el ESET Threat Report H1 2026.
Esta modalidad de fraude es conocida como “quishing”, término utilizado para describir los ataques de phishing que emplean códigos QR como mecanismo para ocultar enlaces maliciosos.
El informe de ESET señala que los primeros seis meses del año registraron niveles récord de detecciones relacionadas con este tipo de amenazas. La telemetría de la compañía contabilizó un promedio de aproximadamente 100,000 detecciones mensuales, con un máximo registrado durante abril.
Estados Unidos, España y México concentraron la mayor cantidad de detecciones durante el período analizado.
El funcionamiento del quishing aprovecha precisamente una de las características que han hecho populares a los códigos QR: su facilidad de uso. Los usuarios están acostumbrados a escanearlos para acceder rápidamente a menús, páginas web, sistemas de pago, promociones y otros servicios.
Los ciberdelincuentes utilizan esa familiaridad para presentar códigos QR aparentemente normales dentro de mensajes fraudulentos.
En lugar de mostrar directamente un enlace que podría generar sospechas, el correo electrónico puede incluir una imagen con un código QR acompañado de un mensaje que invita al usuario a escanearlo.
Una vez que la persona utiliza su teléfono para leer el código, puede ser redirigida a una página controlada por los atacantes.
Estos sitios pueden imitar páginas legítimas de bancos, servicios digitales, empresas tecnológicas o plataformas conocidas con el objetivo de conseguir información confidencial.
Entre los datos que pueden intentar obtener se encuentran nombres de usuario, contraseñas, información financiera y otros datos personales.
El crecimiento de esta modalidad también está relacionado con la expansión del uso de códigos QR en espacios físicos.
Actualmente pueden encontrarse en lugares como restaurantes, parquímetros, postes de alumbrado, establecimientos comerciales y diferentes servicios públicos o privados.
Esta presencia cotidiana hace que muchas personas hayan desarrollado el hábito de escanear códigos sin cuestionar necesariamente su procedencia.
Los atacantes aprovechan precisamente esa confianza para introducir códigos falsos en diferentes contextos.
El problema se vuelve especialmente relevante cuando el código aparece dentro de un correo electrónico que pretende hacerse pasar por una institución legítima.
El mensaje puede advertir sobre una supuesta actividad sospechosa, solicitar la actualización de una cuenta, informar sobre un pago pendiente o utilizar cualquier otro argumento diseñado para provocar una reacción rápida.
El usuario, al escanear el código, puede terminar en una página que parece legítima pero que en realidad fue creada para obtener sus datos.
ESET advierte que el incremento de estas detecciones demuestra que los códigos QR ya forman parte de las estrategias utilizadas por los delincuentes para distribuir campañas de phishing.
Una de las principales recomendaciones para reducir el riesgo consiste en no escanear códigos QR incluidos en mensajes inesperados, especialmente cuando solicitan iniciar sesión, introducir información personal o realizar algún pago.
También es importante comprobar cuidadosamente el origen del mensaje y evitar confiar únicamente en la apariencia de una página después de escanear un código.
Los usuarios deben prestar especial atención cuando el mensaje genera sensación de urgencia o amenaza con bloquear una cuenta, suspender un servicio o aplicar algún cargo si no se realiza determinada acción.
Otro aspecto importante es verificar la dirección del sitio web al que conduce el código antes de proporcionar cualquier información.
El hecho de que un código QR funcione correctamente no significa que el sitio al que dirige sea seguro.
La expansión del quishing demuestra cómo los ciberdelincuentes adaptan técnicas conocidas de fraude a nuevas formas de interacción digital.
Mientras los códigos QR continúan ganando espacio en actividades cotidianas, también se convierten en una herramienta que puede ser utilizada para ocultar enlaces maliciosos y dificultar que el usuario identifique el peligro antes de acceder.
Los datos del primer semestre de 2026 muestran la magnitud del fenómeno, con un promedio de 100,000 detecciones mensuales registradas por ESET y una concentración especialmente elevada en Estados Unidos, España y México.
La recomendación general para los usuarios es mantener una actitud de precaución, incluso ante herramientas que parecen tan comunes e inofensivas como un código QR.
La tecnología puede facilitar el acceso a información y servicios, pero también puede ser aprovechada para engañar a los usuarios. En el caso del quishing, la principal barrera de protección continúa siendo verificar antes de escanear y nunca entregar información sensible a un sitio cuya autenticidad no haya sido comprobada.