Hoy en día, los códigos QR están presentes en casi cualquier actividad cotidiana. Desde consultar el menú de un restaurante o revisar la factura del agua hasta pagar una empanada en la tienda del barrio, basta con sacar el celular y apuntar la cámara para acceder a información o realizar una transacción en cuestión de segundos.
Precisamente esa facilidad también está siendo aprovechada por los delincuentes, quienes pueden esconder enlaces fraudulentos detrás de estos códigos para dirigir a las personas a páginas que aparentan ser legítimas. Y como a simple vista resulta casi imposible conocer a dónde lleva un QR, muchos usuarios terminan confiando en ellos sin comprobar primero qué están escaneando.
Publicidad
Esta modalidad de engaño es conocida como quishing y un informe de ESET, compañía especializada en ciberseguridad, reveló que los códigos QR estuvieron presentes en aproximadamente el 11 % de los correos electrónicos fraudulentos analizados durante el primer semestre de 2026.
La investigación también encontró que esta modalidad ocupó el séptimo lugar entre las principales amenazas distribuidas por correo electrónico y que Estados Unidos, España y México encabezaron las detecciones mundiales registradas por la compañía.
Así utilizan códigos QR para engañar con documentos falsos
Uno de los ejemplos identificados por los investigadores es la suplantación de plataformas populares como DocuSign, un servicio usado para firmar documentos digitalmente.
Publicidad
En este caso, el usuario recibe un correo que aparenta ser una notificación legítima de la plataforma. El mensaje indica que hay un documento listo para revisar y presenta un código QR junto a un botón que invita a escanear.
Lo particular es que el botón no permite abrir el documento, por lo que, para continuar, la persona debe utilizar la cámara de su teléfono y escanear el código, que podría dirigirla a una página falsa para robar sus credenciales.
Publicidad
Jonathan Ramos, investigador de Seguridad Informática de ESET Latinoamérica, explicó que este mecanismo también permite a los delincuentes trasladar el intento de fraude hacia dispositivos que pueden tener menos medidas de protección.
“Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad”, señaló.
¿Qué riesgos existen al escanear un código QR falso?
Los códigos QR permiten abrir direcciones web sin necesidad de escribirlas. Aunque son habituales para realizar pagos o acceder a diferentes servicios, también pueden utilizarse para ocultar enlaces fraudulentos.
Publicidad
Entre los riesgos identificados por la compañía se encuentra el robo de contraseñas, la suplantación de páginas bancarias, los pagos fraudulentos y la descarga de aplicaciones maliciosas.
A su vez, los delincuentes pueden modificar códigos que se encuentran en espacios físicos, por ejemplo, colocando un sticker con un QR falso encima de uno legítimo.
Publicidad
Sin embargo, escanear un código malicioso no implica que su celular haya sido hackeado, sino que el peligro depende de las acciones que se realice dentro de la página, como ingresar contraseñas, autorizar pagos o instalar archivos desconocidos.
¿Cómo identificar un código QR sospechoso y evitar una estafa?
Aunque a simple vista resulta casi imposible distinguir un QR verdadero de uno fraudulento, una de las principales recomendaciones es revisar la dirección web que muestra el celular antes de abrirla.
También conviene desconfiar de los códigos que llegan inesperadamente por WhatsApp, mensajes de texto o correo electrónico, especialmente cuando están acompañados de advertencias urgentes para confirmar una cuenta o completar un pago. Además, en lugares públicos, un código pegado encima de otro o con señales de manipulación también es una señal que deben tenerse en cuenta.
Publicidad
Si usted ya ingresó información en una página sospechosa, debe cambiar las contraseñas afectadas, activar la verificación en dos pasos y comunicarse con su banco si proporcionó datos financieros o realizó alguna transacción.
Para consultar documentos, facturas o servicios bancarios, lo más recomendable por parte de ESET es ingresar directamente a las páginas o aplicaciones oficiales, evitando depender de enlaces desconocidos.