El cuadrado en blanco y negro que se popularizó durante la pandemia como puente sin contacto hacia menús, pagos y formularios se ha convertido también en una puerta de entrada para estafadores. La técnica, conocida como “QRishing” (phishing con códigos QR), explota la confianza y la inercia del usuario: se escanea, se pulsa y, sin darse cuenta, se entregan credenciales, datos personales o se autoriza un pago.
De la comodidad al riesgo
Los códigos QR no son peligrosos por sí mismos; son un contenedor que apunta a una dirección o acción: abrir un enlace, descargar una app, iniciar un chat, configurar una red Wi‑Fi o disparar un pago.
El problema aparece cuando el código redirige a un sitio malicioso que imita servicios legítimos (bancos, paquetería, administración pública) o cuando activa automatismos sin que el usuario los identifique con claridad.
Lea más: El algoritmo detrás de tus redes sociales: cómo decide qué mostrarte y qué ocultar
Los delincuentes han perfeccionado dos vectores: la sustitución y el señuelo. En la sustitución, colocan stickers con códigos falsos sobre los oficiales de carteles de eventos o mesas de restaurantes. En el señuelo, envían códigos por correo, mensajería o redes sociales con mensajes de urgencia: “verifique su cuenta”, “su paquete está retenido”, “evite una multa”.
Todos los beneficios, en un solo lugar Descubrí donde te conviene comprar hoy
Cómo funciona el engaño
El recorrido suele incluir varios pasos que, en conjunto, reducen la vigilancia del usuario:
- El código dirige a una página que imita a la original, con logotipos y colores correctos, a menudo alojada en dominios similares pero con pequeñas variaciones.
- La web solicita credenciales o datos de tarjeta “para verificar la identidad” o “confirmar el pago”.
- Si el servicio original usa doble factor, los criminales pueden pedir el código temporal en tiempo real, actuando como intermediarios (man‑in‑the‑middle) para entrar en la cuenta.
- En escenarios de pago, se induce al usuario a autorizar transferencias instantáneas o a registrar una tarjeta en un wallet controlado por los estafadores.
En empresas, el QRishing se combina con campañas de spear phishing: códigos en invitaciones a eventos, supuestas encuestas internas o cartelería en oficinas que deriva a portales corporativos falsos. El objetivo: capturar credenciales de correo, VPN o herramientas de colaboración.
Lea más: Superinteligencia a la vista: ¿será 2026 el año crucial para la IA?
Señales de alerta
Aunque el código es opaco a simple vista, hay pistas que ayudan a detectar el fraude:
- Contexto y ubicación. Un QR pegado de forma tosca, con un sticker sobre cartelería oficial o en lugares donde no suele haber códigos, es sospechoso.
- Dominio y certificado. Tras escanear, antes de interactuar, conviene revisar la URL completa: errores sutiles, dominios largos o acortadores pueden encubrir riesgos. El candado no garantiza legitimidad, solo cifrado.
- Exceso de permisos. Si el enlace solicita instalar una app fuera de tiendas oficiales, permisos invasivos o contraseñas para trámites simples, es una señal de alarma.
- Urgencia y presión. Mensajes que amenazan con bloqueos inminentes, multas o pérdidas económicas buscan precipitar decisiones.
Casos y superficies vulnerables
La masificación de pagos y gestiones por QR amplió la superficie de ataque. Estacionamientos han sido escenario recurrente en algunos sitios: sustituir el código por uno que lleve a una pasarela falsa basta para capturar números de tarjeta.
En eventos masivos, códigos en carteles o pantallas pueden enviar a páginas que piden “registro rápido” y extraen datos personales. En restauración, cartas digitales o “programas de fidelización” apócrifos han servido para recolectar credenciales de correo y redes sociales.
Lea más: Estudio del MIT: la IA ya amenaza el 11,7% de la fuerza laboral en EE.UU.
En entornos corporativos, la adopción de credenciales QR para visitantes y el uso de pegatinas informativas en espacios comunes abren la puerta a campañas dirigidas. Un código en un ascensor que promete “Wi‑Fi de cortesía” puede, en realidad, exfiltrar tráfico o pedir credenciales.
Por qué crece el QRishing
Tres factores explican su auge: la familiaridad adquirida durante la pandemia, que normalizó “apuntar y pulsar”; la dificultad de auditar visualmente un QR, a diferencia de un enlace escrito; y el bajo costo de ejecución para los atacantes, que solo necesitan impresión básica y un dominio convincente.
Además, la legitimidad social de los códigos —presentes en trámites públicos y servicios esenciales— reduce la sospecha inicial.
Prevención sin fricción
La clave es introducir pequeñas pausas de verificación sin renunciar a la comodidad:
- Usá la vista previa del enlace en la app de tu cámara o en un lector de confianza, y comprobá el dominio antes de abrirlo.
- Preferí acceder manualmente a servicios sensibles (banca, impuestos, salud) escribiendo la dirección o usando la app oficial, en lugar de seguir códigos o enlaces.
- En espacios públicos, buscá señales de manipulación. Si el establecimiento tiene app propia o web conocida, usala.
- Activá notificaciones y límites en tus medios de pago para detectar movimientos inusuales con rapidez.
- En empresas, formá a empleados y establecé políticas: lectores corporativos que validen dominios, cartelería controlada y canales para reportar códigos sospechosos.
Los proveedores pueden incorporar defensas: códigos firmados o con verificación de integridad, dominios cortos y consistentes, y mensajes claros que eviten solicitar información sensible mediante QR.
Si ya caíste en la trampa
Actuar con rapidez puede contener el daño:
- Cambiá inmediatamente las contraseñas comprometidas y activá (o regenerá) el doble factor.
- Avisá a tu banco y solicitá el bloqueo o la reversión de operaciones, si es posible.
- Revisá dispositivos y permisos concedidos; desinstalá apps ajenas y revocá sesiones abiertas.
- Denunciá el sitio o el QR al establecimiento afectado y a las autoridades competentes; ello ayuda a retirar contenidos y prevenir nuevas víctimas.
Un hábito nuevo: escanear con escepticismo
Como ocurrió con el correo electrónico y los enlaces abreviados, la alfabetización digital se adapta a cada tecnología que suma conveniencia. Los códigos QR seguirán siendo útiles —y en muchos casos, imprescindibles—, pero requieren un nuevo reflejo: detenerse un segundo, leer la dirección, desconfiar de la urgencia y preferir rutas oficiales para operaciones críticas.
Escanear con escepticismo es, hoy, la mejor vacuna contra el QRishing.