Ciberdelincuentes usan quishing para robar datos con códigos QR

La adopción masiva de herramientas de escaneo digital para tareas cotidianas, como pagar compras o consultar menús comerciales, se ha convertido en una vía de explotación para la delincuencia informática. A través del denominado quishing, atacantes camuflan hipervínculos engañosos dentro de códigos de barras bidimensionales con el propósito de remitir a los usuarios hacia portales fraudulentos.

El alcance global de la amenaza según ESET

Un informe elaborado por la firma de ciberseguridad ESET determinó que los códigos QR estuvieron integrados en cerca del 11 % de los mensajes de correo electrónico fraudulentos examinados durante la primera mitad de 2026. Esta cifra posicionó al método en el séptimo lugar dentro de las tácticas más distribuidas vía correo electrónico a nivel mundial.

De acuerdo con el monitoreo de la compañía, las detecciones de este tipo de estafa se concentraron primordialmente en tres naciones:

Estados Unidos
España
México

Estrategias de suplantación y evasión de filtros

Entre los esquemas registrados figura la falsificación de notificaciones de DocuSign, un servicio orientado a la suscripción electrónica de documentos. Los cibercriminales remiten comunicaciones que simulan avisos legítimos para revisar archivos pendientes; sin embargo, inhabilitan la apertura directa e insertan un código QR para obligar a la víctima a emplear la cámara de su teléfono inteligente.

🛒 Ofertas destacadas · Enlace de afiliado

Jonathan Ramos, investigador de Seguridad Informática de ESET Latinoamérica, detalló la lógica de este proceder: “Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad”.

Peligros asociados y manipulación física

La lectura de un código fraudulento no vulnera el teléfono de forma automática; el perjuicio ocurre cuando la persona ejecuta acciones dentro de la web de destino. Las amenazas vinculadas comprenden la sustracción de claves de acceso, la copia ilegal de portales bancarios, la ejecución de transacciones indebidas y la instalación forzada de programas malignos.

El engaño no se limita al ámbito digital. En espacios públicos, los atacantes suelen superponer adhesivos que contienen códigos maliciosos sobre la señalización física genuina.

Pautas de prevención y mitigación de daños

Frente a la dificultad visual para distinguir un gráfico auténtico de uno falso, los especialistas aconsejan adoptar medidas de verificación previas:

Comprobar la dirección URL que proyecta el dispositivo móvil antes de autorizar la apertura en el navegador.
Desconfiar de mensajes no solicitados en WhatsApp, SMS o correo que exijan pagos apremiantes o validaciones inmediatas de cuentas.
Inspeccionar físicamente los impresos en lugares públicos para descartar calcomanías sobrepuestas o adulteradas.
Acceder a gestiones de documentos y plataformas bancarias ingresando directamente en aplicaciones o sitios oficiales.

En circunstancias donde ya se hayan suministrado datos confidenciales en un sitio sospechoso, la recomendación radica en actualizar inmediatamente las contraseñas comprometidas, activar sistemas de autenticación de dos factores y notificar a la entidad bancaria respectiva si hubo exposición de fondos o credenciales financieras.