Los códigos QR se utilizan para consultar la carta de un restaurante, pagar un aparcamiento, conectarse a la red WiFi de un hotel, descargar una entrada o alquilar una bicicleta, entre otras posibilidades. Por ejemplo, una de las escenas veraniegas más habituales que se hace en público en España es sentarse a tomar algo en una terraza.

Desde hace tiempo, son muchos los establecimientos que han sustituido las cartas de papel por los códigos QR, por lo que sacar el móvil y escanear la imagen para ver el menú es algo casi cotidiano. Puede que, sin saberlo, estemos siendo víctimas de una técnica conocida como quishing.

Qué es y cómo actúa el quishing

El quishing es un tipo de phishing que utiliza los códigos QR tradicionales en lugar de enlaces tradicionales para llevar a cabo ciberataques. Los usuarios escanean un código con sus móviles pensando que acceden a un contenido legítimo, pero en realidad son redirigidos a sitios maliciosos donde los ciberdelincuentes pueden robar información personal, datos bancarios o instalar malware en el dispositivo.

Tal y como explican desde la compañía de ciberseguridad ESET, pueden aparecer códigos falsos en parquímetros, mesas de restaurantes, carteles informáticos o máquinas de pagos colocados encima del original mediante una simple pegatina. Informan de que se han detectado casos de falsas multas de aparcamiento o supuestos avisos de peajes pendientes que buscan que la víctima introduzca los datos de su tarjeta en una web fraudulenta.

Sin embargo, no solo aparecen en la vía pública o servicios públicos, sino que el quishing puede empezar con un correo electrónico que aparenta ser de un servicio conocido como bancos o empresas. En lugar de recibir un enlace, pide descargar un código QR para confirmar identidad, revisar un documento o solucionar alguna incidencia. ESET alerta de que estos ataques están aumentando y creciendo con rapidez.

Según su informe Threat Report H1 2026, durante el primer semestre del año, cerca del 11% de los correos electrónicos de phishing detectados por la compañía ya utilizaban códigos QR, con una media de 100.000 detecciones mensuales. Además, España fue el segundo país del mundo con más casos detectados, con un 17% de la actividad global, tan solo por detrás de Estados Unidos.

Consejos a la hora de escanear un código QR

• No escanearlos sin pensar, aunque parezcan legítimos. Que se encuentre en un lugar aparentemente fiable no significa que sea seguro.

• Comprobar que no ha sido manipulado. Comprobar si existe una pegatina colocada encima del original.

• Revisar la dirección web antes de abrirla. Si muestra vista previa al enlace, hay que buscar errores y desconfiar de direcciones acortadas.

• No introducir datos bancarios ni personales. Mejor cerrar el navegador y acceder al servicio escribiendo manualmente su dirección o utilizando su aplicación oficial.

• Desconfiar de los códigos recibidos por correo electrónico. Cualquier mensaje urgente que pida escanear un código QR para algo ya es sospechoso.