Los códigos QR se han convertido en una herramienta habitual para acceder a páginas web, realizar pagos o consultar información. Precisamente, esa familiaridad está siendo aprovechada por los ciberdelincuentes para ocultar enlaces maliciosos y dirigir a sus víctimas a sitios diseñados para obtener información privada.
La compañía de ciberseguridad ESET alertó sobre el crecimiento del quishing, una modalidad de fraude que utiliza códigos QR como puerta de entrada a campañas de phishing. Según su informe de amenazas correspondiente al primer semestre de 2026, estos códigos aparecieron en el 11 % de los correos electrónicos de phishing detectados durante ese periodo.
El peligro puede aparecer en un correo aparentemente normal
La estrategia comienza con un código que puede estar dentro de un correo electrónico, una imagen o incluso un documento adjunto. Al escanearlo, la persona es dirigida a una página web que puede imitar la apariencia de una plataforma legítima y solicitar información.
Una de las ventajas para los delincuentes es que la dirección real queda oculta dentro de la imagen. ESET explica que “el destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas”.
Esto significa que una persona puede recibir un mensaje que no presenta las señales habituales de un correo fraudulento y, al mismo tiempo, tener dificultades para saber a qué página será dirigida antes de escanear el código.
El celular se convierte en el siguiente objetivo
El riesgo aumenta cuando el código aparece en un computador y la persona utiliza su teléfono para escanearlo. De acuerdo con ESET, ese cambio de dispositivo puede permitir que el atacante evite algunas de las protecciones existentes en el equipo corporativo.
Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, explicó que “lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido, a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos”.
Aunque el comunicado de ESET pone especial atención en las empresas, el mecanismo también puede afectar a cualquier persona que escanee un código QR malicioso y posteriormente entregue información en una página falsa.
¿Qué quieren conseguir los delincuentes?
El objetivo es obtener credenciales y otros datos sensibles. Una página fraudulenta puede solicitar información que permita acceder posteriormente a una cuenta, servicio o plataforma.
Por esa razón, el riesgo puede involucrar desde datos personales hasta información relacionada con servicios financieros. Sin embargo, ESET no señala que todos los ataques tengan como resultado directo el vaciado de una cuenta bancaria.
El crecimiento de esta modalidad sí resulta significativo. La compañía señala que los códigos QR maliciosos llegaron a representar una parte importante de las campañas de phishing detectadas durante los primeros meses de 2026.
La recomendación antes de escanear
ESET plantea que la familiaridad con estos códigos no debería convertirse en confianza automática. Mario Micucci advirtió que “los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza”.
Por ello, la recomendación es comprobar el origen del código antes de escanearlo y revisar cuidadosamente la dirección que aparece posteriormente. Si el mensaje solicita información personal, contraseñas o datos financieros, lo recomendable es no introducirlos hasta verificar que el sitio sea legítimo.
La compañía también insiste en que “la familiaridad no tiene por qué generar complacencia” y señala que los usuarios pueden aprender a reconocer las señales de un posible intento de quishing, de la misma manera que ya identifican otras formas de phishing.