Consultar la carta de un restaurante, pagar un aparcamiento, alquilar una bicicleta, acceder a la red wifi de un hotel o descargar una entrada son acciones que cada vez realizamos con mayor frecuencia mediante códigos QR. Su rapidez y comodidad han convertido estos códigos en una herramienta habitual, especialmente durante los meses de verano, cuando aumentan los desplazamientos, las visitas a establecimientos y el uso de servicios turísticos. Sin embargo, esa misma familiaridad está siendo aprovechada por los ciberdelincuentes.

ESET, compañía líder en ciberseguridad, alerta del crecimiento del quishing, una modalidad de phishing que oculta enlaces fraudulentos dentro de códigos QR con el objetivo de robar credenciales, información personal o datos de tarjetas bancarias.

“Los códigos QR se han integrado tanto en nuestra vida diaria que muchas personas los escanean de manera automática, sin aplicar las mismas precauciones que utilizarían ante un enlace recibido por correo electrónico”, señala Josep Albors, responsable de Investigación y Concienciación de ESET España. “Los ciberdelincuentes conocen este comportamiento y están explotando esa confianza. Durante las vacaciones, este riesgo puede aumentar debido al uso intensivo de servicios desconocidos, la prisa, las barreras lingüísticas y la mayor predisposición a escanear códigos para consultar información o completar gestiones rápidamente”.

Según el ESET Threat Report H1 2026, las campañas de quishing alcanzaron niveles récord durante la primera mitad del año. Aproximadamente el 11% de todos los correos electrónicos de phishing detectados por ESET utilizaba ya códigos QR, con una media de alrededor de 100.000 detecciones mensuales. España ocupa, además, una posición especialmente destacada en este tipo de fraude. El país concentró el 17% de todas las detecciones mundiales de quishing registradas por ESET durante el periodo analizado, únicamente por detrás de Estados Unidos.

Del correo electrónico a la mesa de un restaurante

Una campaña de quishing puede comenzar con un correo aparentemente legítimo que suplanta a una empresa, una entidad bancaria, un proveedor tecnológico o incluso al departamento de recursos humanos de una organización. En lugar de incluir un enlace convencional, el mensaje pide al usuario que escanee un código QR para confirmar su identidad, revisar un documento, actualizar una contraseña o resolver una supuesta incidencia urgente.

Al escanearlo, la víctima es redirigida a una página fraudulenta diseñada para imitar un servicio legítimo y solicitar credenciales, datos personales o información bancaria. No obstante, este fraude ya no se limita al entorno digital. Los delincuentes también colocan códigos QR falsos en lugares físicos en los que los usuarios esperan encontrarlos, como parquímetros, bicicletas compartidas, mesas de restaurantes, carteles informativos o máquinas de pago. En algunos casos, basta con pegar una etiqueta con un código malicioso sobre el original.

También se han detectado códigos fraudulentos en falsas multas de aparcamiento, avisos de peajes pendientes o comunicaciones que simulan proceder de servicios públicos. El usuario escanea el código con la intención de realizar un pago y termina introduciendo los datos de su tarjeta en una web controlada por los atacantes.

Siete recomendaciones para escanear códigos QR con seguridad este verano

ESET aconseja aplicar las siguientes precauciones antes de utilizar un código QR:

1. Detente un instante antes de escanear. Que un código se encuentre en un lugar aparentemente legítimo no significa necesariamente que sea seguro. Es importante valorar si tiene sentido que el establecimiento o servicio solicite esa acción.
2. Revisa si el código ha sido manipulado. En parquímetros, mesas, carteles o máquinas de pago conviene comprobar si existe una pegatina colocada encima del código original, si presenta bordes levantados o si parece haber sido añadido posteriormente.
3. Comprueba la dirección antes de abrirla. La mayoría de los teléfonos muestran una vista previa del enlace. Es recomendable revisar el dominio, buscar errores ortográficos y desconfiar de direcciones acortadas o que no coincidan con la organización correspondiente.
4. No introduzcas datos sensibles inmediatamente. Si una página abierta mediante un QR solicita contraseñas, información bancaria o datos personales, es preferible cerrar el navegador y acceder al servicio escribiendo manualmente su dirección o utilizando su aplicación oficial.
5. Utiliza los canales oficiales para realizar pagos. Ante una supuesta multa, un peaje pendiente, una reserva o un aparcamiento, debe comprobarse la información desde la web o la aplicación oficial del proveedor.
6. Desconfía de códigos recibidos por correo electrónico. Un mensaje urgente que pide escanear un QR para actualizar una contraseña, iniciar sesión o evitar el bloqueo de una cuenta debe tratarse con la misma cautela que cualquier enlace sospechoso.
7. Protege también el teléfono móvil. Mantén el sistema operativo y las aplicaciones actualizados, utiliza una solución de seguridad y activa la autenticación multifactor.