Quishing: cómo funcionan las estafas con códigos QR y cómo protegerte

Los códigos QR se han convertido en una herramienta cotidiana para acceder a información, realizar pagos o validar documentos. Sin embargo, su popularidad también los ha convertido en un vector de ataque cada vez más utilizado por los ciberdelincuentes. Según datos recientes, durante el primer semestre de 2026, el 11% de los correos electrónicos de phishing analizados incluían un código QR como parte de la estafa, una técnica conocida como quishing. España se sitúa entre los tres países con mayor número de detecciones, solo por detrás de Estados Unidos y junto a México, lo que refleja que esta amenaza ya no es marginal, sino una realidad que afecta a empresas y profesionales.

El quishing —término que combina "QR" y "phishing"— consiste en ocultar un enlace malicioso dentro de un código QR. A diferencia del phishing tradicional, donde el enlace aparece visible en un correo o mensaje, aquí la dirección fraudulenta solo se revela al escanear el código. Esto dificulta la detección por parte de los filtros de seguridad y, lo que es más preocupante, traslada la interacción a un dispositivo menos protegido: el móvil personal del empleado. Mientras que el ordenador de trabajo suele contar con antivirus, cortafuegos y políticas de seguridad corporativas, el smartphone rara vez tiene las mismas medidas, lo que lo convierte en un eslabón débil.

Por qué el quishing es más peligroso de lo que parece

El éxito de esta técnica no se basa solo en su novedad, sino en cómo aprovecha los hábitos cotidianos. Los códigos QR están tan integrados en nuestra rutina —desde pagar un café hasta acceder a una promoción— que muchos usuarios los escanean sin cuestionarlos. Además, los mensajes de quishing suelen ser breves y directos, lo que reduce las pistas que podrían delatar su falsedad, como errores ortográficos o incoherencias. Por ejemplo, un correo que simule ser del departamento de TI de la empresa puede pedir al empleado que "verifique su cuenta" escaneando un código, sin dar más explicaciones. Al hacerlo desde el móvil, la víctima no ve la URL completa, y en muchos navegadores, la barra de direcciones ni siquiera aparece, lo que facilita que caiga en la trampa.

Otro factor clave es la dificultad para inspeccionar estos códigos antes de escanearlos. Mientras que un enlace escrito puede analizarse o compararse con la dirección oficial de la empresa, un código QR es un patrón ilegible para el ojo humano. Esto lo convierte en un recurso ideal para los atacantes, que pueden redirigir a la víctima a páginas falsas de inicio de sesión, formularios de pago fraudulentos o incluso descargas de malware. En algunos casos, el código QR puede estar impreso en un adhesivo pegado sobre uno legítimo, como los que se usan en parkings o menús de restaurantes, lo que aumenta la confusión.

Qué significa para tu negocio

Para una pyme, especialmente en sectores como la construcción, las reformas o los servicios técnicos, donde el uso de dispositivos móviles es habitual, el quishing representa un riesgo real. Un empleado que escanee un código malicioso desde su teléfono personal podría comprometer credenciales corporativas, acceder a información sensible o incluso facilitar un fraude económico. La solución no pasa por prohibir el uso de códigos QR —sería poco práctico—, sino por adoptar medidas sencillas pero efectivas: formar a los equipos para que desconfíen de mensajes urgentes o inesperados que pidan escanear un código, verificar siempre la procedencia de los correos y, si es posible, utilizar herramientas de seguridad que analicen los enlaces ocultos en los QR. En caso de duda, lo más seguro es acceder a la página oficial de la empresa o servicio a través de un navegador, sin usar el código. La prevención, como siempre, es la mejor defensa.