Escanear un código QR para ver la carta de un restaurante, pagar el parking o acceder a un folleto turístico se ha convertido en una rutina para millones de personas. Pero los ciberdelincuentes también han visto ahí una oportunidad de oro. Lo que antes era un simple cuadrado con puntos negro ahora esconde la puerta de entrada a un entramado fraudulento que se expande con rapidez en Europa y España. La técnica se llama quishing y ya es uno de los métodos de phishing que más está creciendo en todo el mundo.
Los datos que manejan las empresas de ciberseguridad no dejan muchas dudas. Microsoft detectó 18,7 millones de ataques de quishing solo en marzo de 2026, frente a los 7,6 millones de enero, lo que supone un incremento del 146% en apenas tres meses. En el primer trimestre de 2026, la compañía identificó cerca de 8.300 millones de amenazas de phishing por correo electrónico, y el QR malicioso fue el canal con el crecimiento más acelerado. Logicalis Spain y su unidad de ciberseguridad Áudea llevan meses advirtiendo a sus clientes de que el QR es un vector de ataque real, mucho más peligroso de lo que parece porque actúa fuera de los controles habituales del ordenador corporativo.
Qué es el quishing y por qué es tan peligroso
El quishing es una variante del phishing clásico que sustituye los enlaces tradicionales por códigos QR. Al escanearlo con el móvil, el usuario acaba en una página fraudulenta que replica la apariencia de un servicio legítimo, ya sea un banco, una empresa de paquetería, una plataforma de autentificación o un comercio conocido. La diferencia con un enlace normal es evidente: el ojo humano no puede ver la dirección web oculta tras el código, y todo el proceso se desarrolla en el teléfono, lejos de las barreras de seguridad que suelen proteger los ordenadores de una empresa. Andrés Cartes Guilarte, Cybersecurity Culture Consultant de Áudea, resume la amenaza de forma clara: el QR traslada la interacción fuera del perímetro convencional de seguridad, y eso lo convierte en un vehículo terrible para robar credenciales, datos personales o información bancaria.
Durante los últimos meses, los atacantes han refinado su puntería. Los archivos PDF han sido uno de sus escondites favoritos. Los PDF maliciosos concentran alrededor del 70% de los ataques mediante QR registrados en marzo de 2026, según el Email Threats Report de Barracuda, y el 70% de los documentos analizados contenían códigos que apuntaban a páginas de phishing. En los archivos maliciosos de Microsoft 365 ese porcentaje alcanza el 56%. Además, los códigos insertados directamente en el cuerpo del correo electrónico registraron un aumento del 336% en ese mismo mes. La fórmula es simple: un correo aparentemente rutinario, un PDF adjunto con mala pinta y un QR que, al escanearse, lleva directo a una trampa.
El fraude del QR también está en la calle y en el restaurante
El problema no se queda en la bandeja de entrada. Los códigos QR se han integrado en el mundo físico de una manera tan natural que los ciberdelincuentes solo tuvieron que dar un paso más: manipular los elementos que la gente ya usa cada día. El INCIBE advirtió el pasado 4 de agosto de 2026 de un caso real en España en el que una usuaria escaneó el código de la carta de un restaurante, aceptó una ventana emergente y activó una suscripción premium no deseada. Otros clientes del mismo establecimiento habían sufrido situaciones parecidas. La Guardia Civil española ha alertado en varias ocasiones sobre la sustitución física de los códigos: los delincuentes pegan una pegatina encima del QR original y, cuando el cliente escanea, entra directamente a una página fraudulenta sin notarlo.
Al mismo tiempo, el fraude del “delivery falso” se ha convertido en una de las variantes más extendidas. El estafador envía un SMS o un mensaje de WhatsApp haciéndose pasar por una empresa de paquetería real, con el logotipo incluido y un tono de urgencia: “tu pedido no pudo ser entregado”, “confirma tu dirección para recibir el paquete”. El mensaje ofrece un QR o un enlace que lleva a una réplica del sitio de una compañía de envíos muy conocida. A partir de ahí, la página falsa solicita datos personales, la dirección, el DNI y, en muchas ocasiones, los datos de la tarjeta bancaria con la excusa de pagar un impuesto aduanero o un ajuste de reenvío. Con esa información, los delincuentes hacen compras online, vacían cuentas e incluso instalan aplicaciones maliciosas con acceso remoto al dispositivo.
La normalidad del QR ayuda a que el engaño funcione
Parte del éxito de este tipo de fraude radica en lo natural que resulta escanear un código en cualquier contexto. Datos de QR TIGER apuntan que el 75% de los restaurantes del mundo utiliza ya códigos QR para sus menús digitales, y el uso de esta tecnología en marketing y publicidad se disparó un 323% entre 2021 y 2023. Con semejante normalización, es casi imposible que el usuario se pare a pensar si el código que acaba de escanear está manipulado o no. El QR es tan habitual como pagar con tarjeta o abrir una app de mensajería, y eso es exactamente lo que aprovechan los atacantes.
La protección debe ser doble: prevenir antes de escanear y saber reaccionar si ya se ha caído en la trampa. Los especialistas recomiendan desconfiar de cualquier mensaje con tono de urgencia que solicite confirmar datos de una entrega o de una cuenta. Si se recibe un aviso de una empresa de envíos, la opción más segura es acudir directamente a la aplicación o al sitio web oficial de la compañía, localizar el pedido con el número de seguimiento y olvidarse del QR o enlace del mensaje. Ninguna empresa de logística legítima pide el número de la tarjeta por WhatsApp o SMS para “liberar” un paquete. También conviene revisar, antes de usarlo, que el código QR de una mesa de restaurante no haya sido cubierto con una pegatina sospechosa, y comprobar la URL a la que redirige antes de introducir cualquier dato.
Qué hacer si ya has picado en el quishing
Si la víctima ya ha introducido sus datos en una página falsa, el primer movimiento debe ser avisar al banco y bloquear la tarjeta. Después, cambiar las contraseñas de las cuentas que puedan haberse visto comprometidas y revisar los movimientos recientes durante las semanas siguientes. Denunciar el número de teléfono o el mensaje ante las autoridades y la propia compañía de telecomunicaciones ayuda a que estos patrones de fraude se identifiquen y bloqueen con más rapidez, además de proteger a futuras víctimas. Los expertos recuerdan que el quishing no es un caso aislado, sino una modalidad que se sigue perfeccionando día a día, por lo que la precaución y el sentido común son las mejores herramientas para no quedar atrapado en la estafa.