Quishing: estafas con códigos QR y medidas de protección para usuarios

Durante la primera mitad de 2026, los códigos QR estuvieron presentes en alrededor del 11% de los correos electrónicos de phishing analizados por ESET Latinoamérica, compañía líder en detección proactiva de amenazas. Además, QRCode/Phishing ocupó el séptimo lugar entre las principales amenazas distribuidas por correo electrónico y, según el ESET Threat Report H1 2026, los países con más detecciones de esta modalidad fueron Estados Unidos (19%), España (17%) y México (6%). En este contexto, el equipo de investigación de ESET explica qué es el quishing y por qué cambia la dinámica de las estafas, analiza correos electrónicos reales detectados y muestra cómo protegerse y qué hacer si ya se escaneó un código malicioso.

El término surge de la combinación de "QR" y "phishing". Se trata de una técnica de ingeniería social en la que el atacante oculta una dirección maliciosa dentro de un código QR, en lugar de enviarla como un enlace visible. El ataque puede producirse en dos escenarios: Digital o Físico. Digital refiere al código QR llega en el cuerpo de un correo electrónico, en un archivo PDF adjunto, en un mensaje de WhatsApp o SMS, o aparece en un sitio web o perfil de redes sociales. Por otro lado, el Físico refiere al código QR que está impreso en carteles, folletos, papeles colocados en el parabrisas de un vehículo, paquetes o, en uno de los casos más comunes, en adhesivos pegados encima de un código QR legítimo.

Después de escanearlo, la víctima puede ser dirigida a una página falsa de inicio de sesión, a una pantalla de pago, a la descarga de una aplicación maliciosa o incluso a una acción dentro de una aplicación legítima.

La gran diferencia respecto del phishing tradicional está en lo que la víctima puede ver antes de actuar. Un enlace escrito puede leerse, compararse y cuestionarse. En cambio, el destino de un código QR permanece oculto en un patrón de cuadrados blancos y negros, invisible para el ojo humano hasta el momento del escaneo.

Los registros de ESET muestran que QRCode/Phishing ya tiene presencia en toda la región. Durante el primer semestre de 2026, esta familia figuró entre las amenazas compartidas más extendidas de América Latina. La actividad observada mostró además una fuerte concentración en México, que lideró los registros regionales asociados a esta modalidad. La tendencia también se refleja a nivel global. Según el ESET Threat Report H1 2026, los códigos QR aparecieron en alrededor del 11% de los correos electrónicos de phishing detectados durante el semestre. Además, México se ubicó entre los tres países con más detecciones de esta modalidad a nivel mundial, junto con Estados Unidos y España.

“Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad. De hecho, el ESET Threat Report H1 2026 destaca que los atacantes utilizan códigos QR para desplazar la interacción hacia dispositivos móviles y dificultar una inspección rápida de los enlaces maliciosos.”, comenta Jonathan Ramos, Investigador de Seguridad Informática de ESET Latinoamérica.

Para comprender cómo llegan estas estafas hasta las víctimas, ESET comparte un ejemplo electrónico real detectado por ESET y presentados en el ESET Threat Report H1 2026, el falso documento de DocuSign:

Este caso imita una notificación de DocuSign, una plataforma de firma electrónica ampliamente utilizada por empresas. Según los datos regionales de ESET, DocuSign fue una de las marcas más utilizadas por los atacantes en campañas de phishing observadas en América Latina durante el semestre.

Utilizando la identidad visual de la compañía, el mensaje informa que un documento ha sido completado para revisión y firma, y muestra un código QR. En lugar de incluir un enlace, presenta un botón amarillo que indica que se debe escanear el código para revisar y completar el documento. En realidad, el botón no dirige a ningún sitio. La única forma de continuar es apuntar la cámara al código QR. Como el correo contiene muy poco texto, existen pocas señales para sospechar del engaño, y la dirección a la que conduce permanece oculta dentro de la imagen.

Una vez que la estafa llega al celular, el delincuente dispone de un abanico de posibilidades que va más allá del robo de contraseñas. Por un lado, el robo de credenciales y secuestro de sesiones en el que las páginas falsas de inicio de sesión de bancos, servicios de correo o aplicaciones corporativas adaptadas a pantallas móviles son uno de los destinos más comunes. También pueden optar por los pagos fraudulentos, donde algunos códigos QR pueden abrir pantallas de pago o dirigir a operaciones con datos precargados, reduciendo las posibilidades de que la víctima detecte irregularidades si no revisa cuidadosamente la información antes de confirmar la transacción. Además, pueden ir por la instalación de aplicaciones maliciosas, cuando el código QR puede conducir a la descarga de aplicaciones fuera de las tiendas oficiales o a sitios preparados para distribuir software malicioso.

ESET comparte algunos indicios que pueden ayudar a identificar un código QR sospechoso:

• Está pegado encima de otro código o presenta señales de manipulación.
• Llega sin ser solicitado, mediante correo electrónico, mensaje o en un soporte físico inesperado.
• Está acompañado por mensajes de urgencia, presión temporal o advertencias alarmistas.
• La URL mostrada no coincide con el servicio esperado o presenta irregularidades.
• Solicita datos sensibles, como contraseñas, códigos de verificación o información financiera.
• Pide instalar una aplicación para continuar con el proceso.

Además, ESET acerca algunas buenas prácticas para prevenir el quishing:

• Escanear con cautela y revisar la URL antes de continuar: si el lector de códigos QR muestra la dirección de destino, verificar que corresponda al sitio esperado antes de abrirla.
• Priorizar los canales oficiales: para consultar facturas, envíos, beneficios o trámites, ingresar manualmente al sitio web o utilizar la aplicación oficial.
• Revisar siempre la información antes de confirmar una operación: especialmente cuando implique pagos o ingreso de credenciales.
• No instalar aplicaciones desde códigos QR desconocidos: descargar software únicamente desde las tiendas oficiales.
• Ante cualquier duda, verificar la información a través de un canal oficial.
• Mantener el celular actualizado y protegido con una solución de seguridad confiable.

“El crecimiento del quishing demuestra cómo los ciberdelincuentes adaptan técnicas conocidas a los hábitos digitales de los usuarios. A medida que los códigos QR se incorporan a más actividades cotidianas, también aumentan las oportunidades para que sean utilizados como vehículo de fraude. Con una presencia cada vez más extendida tanto a nivel global como regional, esta modalidad se consolida como una amenaza que merece cada vez más atención por parte de usuarios y organizaciones.”, concluye Ramos de ESET.