- El quishing, una variante del phishing que usa códigos QR falsos, crece en España y Europa, con un 11% de los correos maliciosos detectados por ESET.
- Los ciberdelincuentes manipulan códigos en restaurantes, parquímetros y estaciones de carga de vehículos eléctricos para robar datos bancarios o instalar malware.
- España es el segundo país del mundo con más casos de quishing, solo por detrás de Estados Unidos, según el informe Threat Report H1 2026.
- Los expertos recomiendan verificar el soporte físico, revisar el dominio y confirmar el destinatario antes de escanear cualquier código QR.
Sacar el móvil para escanear un código QR se ha convertido en un gesto tan cotidiano como pedir un café en una terraza. Ya sea para consultar la carta de un restaurante, pagar un aparcamiento o conectarse al WiFi de un hotel, estos códigos están por todas partes. Sin embargo, esa familiaridad también ha convertido a los QR en un nuevo campo de juego para los ciberdelincuentes, que han encontrado en ellos una vía para colar sus estafas sin levantar sospechas.
La técnica, conocida como quishing (una combinación de QR y phishing), consiste en sustituir o manipular códigos legítimos para redirigir a las víctimas hacia páginas fraudulentas. Lo más preocupante es que España se ha convertido en uno de los epicentros de esta amenaza a nivel mundial. Según el informe Threat Report H1 2026 de la compañía de ciberseguridad ESET, nuestro país es el segundo del mundo con más casos detectados, acumulando un 17% de la actividad global, solo por detrás de Estados Unidos. Y la tendencia no hace más que crecer: cerca del 11% de los correos de phishing detectados en el primer semestre del año ya utilizaban códigos QR, con una media de 100.000 detecciones mensuales.
Qué es el quishing y cómo actúa
El quishing no es más que una evolución del phishing clásico. En lugar de enviar un enlace sospechoso en un correo, los delincuentes generan un código QR que, al ser escaneado, lleva a la víctima a un sitio web controlado por ellos. La dificultad para detectarlo radica en que, a diferencia de una URL escrita, el destino de un código QR no se puede leer antes de escanearlo. La cámara interpreta la matriz de puntos y solo entonces muestra la dirección a la que conduce, lo que da una ventaja enorme a los estafadores.
Tal y como explican desde ESET, los códigos falsos pueden aparecer en cualquier lugar: pegados sobre los originales en parquímetros, mesas de restaurantes, carteles informativos o máquinas de pago. Una simple pegatina puede ser suficiente para que un usuario desprevenido acabe introduciendo sus datos bancarios en una web fraudulenta. También se han detectado casos de falsas multas de aparcamiento o supuestos avisos de peajes pendientes que buscan que la víctima pague de inmediato sin verificar nada.
Pero el quishing no solo se limita al mundo físico. Los ciberdelincuentes también utilizan el correo electrónico para hacer llegar a sus víctimas un código QR que deben escanear para «confirmar su identidad», «revisar un documento» o «solucionar una incidencia». En lugar de un enlace, el correo pide descargar o escanear un código, lo que hace que la estafa sea mucho más difícil de identificar a simple vista.
Las estafas con QR más comunes en España
Una de las modalidades más extendidas es la manipulación física de los códigos. Los delincuentes colocan una calcomanía con su propio QR sobre el original, una práctica que se ha detectado en bares, restaurantes, comercios y, más recientemente, en estaciones de carga para vehículos eléctricos. Con la llegada del verano y el aumento de desplazamientos por carretera, los expertos advierten de que este tipo de fraude se ha incrementado en las últimas semanas. Al escanear el código manipulado, la víctima es redirigida a una página que imita a la legítima, donde se le pide información personal o bancaria, o incluso se intenta instalar un software malicioso en su dispositivo.
Otra técnica que está ganando terreno es el QRLjacking, una variante que busca secuestrar sesiones de aplicaciones de mensajería. El atacante convence a la víctima de escanear un código QR desde la función de vincular dispositivos de una app, presentándolo como una validación, un sorteo o un beneficio. Si la vinculación se completa, el delincuente obtiene una sesión activa y puede enviar mensajes a los contactos de la víctima para pedir transferencias urgentes.
También proliferan las falsas multas y facturas. Los estafadores dejan avisos impresos con logos oficiales en el parabrisas de los coches o envían correos electrónicos simulando ser de empresas de servicios, exigiendo un pago inmediato mediante un código QR. El descuento por pagar en el momento busca apurar la decisión, y el código dirige a un sitio clonado que roba los datos de la tarjeta o desvía la transferencia.
Cómo detectar un código QR sospechoso
La prevención es la mejor arma contra el quishing. Los expertos insisten en que la primera señal de alerta está en el soporte físico. Si el código tiene relieve, bordes despegados, o parece haber sido pegado sobre otra impresión, lo más seguro es no escanearlo y avisar al responsable del establecimiento. También es fundamental activar la vista previa del enlace en la cámara del móvil para comprobar la dirección antes de abrir cualquier página.
Otro aspecto clave es verificar el dominio. Los sitios fraudulentos suelen tener direcciones con errores ortográficos, letras repetidas o terminaciones inusuales. El candado y el HTTPS no garantizan la legitimidad, así que hay que fijarse bien en el nombre de la página. Y si el código dirige a un sitio que pide contraseñas, datos de tarjeta o códigos de verificación, hay que salir de ahí inmediatamente. Un menú de restaurante o un cartel informativo jamás deberían solicitar ese tipo de información.
Antes de confirmar cualquier pago, es imprescindible comprobar el destinatario. La aplicación de pagos debe mostrar el nombre del comercio o la razón social correcta. Si no coincide, no se debe autorizar la transferencia. Tampoco conviene instalar aplicaciones desde un código QR desconocido, ni compartir códigos de verificación con nadie, ya que ningún banco o entidad los pide por mensaje, llamada o formulario externo.
Qué hacer si has caído en una estafa con QR
Si ya has escaneado un código sospechoso y has introducido datos personales o autorizado una transferencia, la rapidez es esencial. Lo primero es contactar con el banco o la billetera digital para bloquear accesos, tarjetas y dispositivos vinculados. También hay que cambiar las contraseñas desde un equipo seguro y cerrar todas las sesiones abiertas. Es recomendable revisar los movimientos de la cuenta para detectar cualquier operación no autorizada.
Además, es fundamental conservar todas las pruebas: capturas de pantalla, la dirección web a la que condujo el código, comprobantes de transferencia, alias, CBU o CVU, y cualquier conversación relacionada con el fraude. Con todo ello, se debe presentar una denuncia ante las autoridades. En España, la Guardia Civil y la Policía Nacional tienen unidades especializadas en ciberdelincuencia que pueden investigar estos casos. También se puede reportar el incidente al Instituto Nacional de Ciberseguridad (INCIBE) a través de su línea de ayuda.
Los expertos recuerdan que la prevención sigue siendo la mejor defensa. Tomarse unos segundos para revisar el código, el enlace y el destinatario puede evitar un disgusto económico importante. Y si algo parece demasiado bueno para ser verdad, probablemente sea una estafa.
En definitiva, el quishing es una amenaza real y creciente en España. Los ciberdelincuentes aprovechan la confianza que generan los códigos QR en nuestro día a día para robar datos y dinero. La clave está en la precaución: verificar siempre el soporte físico, revisar el dominio antes de abrir cualquier página y confirmar el destinatario antes de pagar. Con estos sencillos hábitos, podemos reducir considerablemente el riesgo de caer en la trampa.