Los códigos QR están en restaurantes, pagos, estacionamientos, eventos y hasta en correos electrónicos. Pero esa misma facilidad que los volvió parte de nuestra rutina también está siendo aprovechada por ciberdelincuentes para llevar a las personas a páginas falsas y robar información.

Escanear un código QR se ha convertido en algo casi automático: apuntamos la cámara del celular, tocamos el enlace y seguimos adelante. Pocas veces nos preguntamos a dónde nos llevará realmente.

Y ahí está precisamente el problema.

ESET advierte sobre una modalidad de estafa conocida como quishing, que utiliza códigos QR maliciosos para engañar a las personas y dirigirlas hacia sitios falsos diseñados para robar contraseñas, datos personales o información de una empresa.

Aunque el nombre puede sonar complicado, su funcionamiento es bastante sencillo: es parecido al phishing tradicional, pero en lugar de pedirte que hagas clic en un enlace, busca que escanees un código QR.

El riesgo está en lo que no puedes ver

Cuando recibimos un enlace por correo electrónico podemos, al menos, observar la dirección antes de abrirla. Con un código QR esto resulta mucho más difícil.

La dirección de destino se encuentra escondida dentro de la imagen. Esto significa que una persona puede escanear un código sin saber con certeza si terminará en la página de su banco, en el portal de su empresa o en una copia falsa creada para robar sus datos.

Los ciberdelincuentes también pueden colocar estos códigos dentro de correos electrónicos, imágenes o archivos PDF para intentar que pasen desapercibidos ante algunos sistemas tradicionales de seguridad.

El riesgo aumenta cuando el código se abre desde un celular personal. Un empleado puede recibir el mensaje en su computadora corporativa, pero terminar abriendo el sitio desde su teléfono, que podría no contar con las mismas medidas de protección que el equipo de la empresa.

Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica, explica que la familiaridad con los códigos QR puede generar una sensación de confianza: las personas están tan acostumbradas a utilizarlos que muchas veces dejan de preguntarse qué hay detrás de ellos.

El 11% de los correos de phishing ya incluía códigos QR maliciosos

El problema ya tiene una presencia importante.

De acuerdo con el ESET Threat Report H1 2026, los códigos QR maliciosos estuvieron presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026.

Esto demuestra que los códigos QR ya no son solamente una herramienta cómoda para compartir información. También se han convertido en una alternativa utilizada por atacantes para intentar engañar a las personas.

Un mensaje puede, por ejemplo, indicar que una cuenta será bloqueada, que existe una factura pendiente, que es necesario actualizar una contraseña o que hay que escanear un código para acceder a un documento.

El objetivo es el mismo: generar suficiente confianza o urgencia para que la persona actúe sin detenerse a verificar.

Entonces, ¿hay que dejar de utilizar códigos QR?

No.

El problema no está en la tecnología, sino en escanear códigos sin verificar de dónde vienen.

Así como hoy muchas personas ya desconfían de un correo extraño que solicita una contraseña o información bancaria, también es importante adoptar esa precaución frente a los códigos QR.

ESET recomienda algunas medidas sencillas para reducir el riesgo:

• Desconfía de códigos QR que llegan sin haberlos solicitado: especialmente si el mensaje exige actuar inmediatamente.
• Verifica quién lo envió: si aparentemente proviene de una empresa, compañero de trabajo o institución conocida, confirma por otro medio antes de escanearlo.
• Revisa la dirección antes de continuar: muchos teléfonos muestran una vista previa del enlace antes de abrirlo.
• Evita ingresar contraseñas o información financiera si el sitio al que llegaste genera dudas.
• Mantén actualizado tu celular y tus aplicaciones: las actualizaciones ayudan a corregir vulnerabilidades.
• En empresas: es importante combinar la capacitación de los colaboradores con soluciones de protección para correo electrónico y dispositivos móviles, sistemas de autenticación adicionales y controles para detectar actividades sospechosas.

Un segundo antes de escanear puede marcar la diferencia

Los códigos QR llegaron para quedarse. Son rápidos, prácticos y simplifican muchas actividades del día a día. Precisamente por eso, también pueden ser efectivos para los ciberdelincuentes: aprovechan una acción que hacemos casi sin pensar.

La recomendación no es vivir desconfiando de cada código que aparece frente a nosotros, sino recuperar un hábito muy sencillo: preguntarnos de dónde viene antes de escanearlo.

Como señala ESET, la misma familiaridad que hoy puede llevarnos a bajar la guardia también puede convertirse en una herramienta de protección si aprendemos a reconocer las señales de alerta.

La próxima vez que encuentres un QR en un correo, un mensaje o incluso pegado sobre otro código, vale la pena detenerse unos segundos.

Porque detrás de esos pequeños cuadros blancos y negros puede haber un menú, un pago o una promoción… pero también un enlace al que nunca quisiste entrar.