Quishing en la actualidad: Peligro Oculto en los QRs y nuevos vectores de ataque.

La adopción masiva de la tecnología de códigos QR autenticación, acceso a servicios financieros entre otros servicios, ha facilitado los procesos al solo escanear un código que te permite reducir pasos. Sin embargo, los atacantes han sofisticado sus técnicas para aprovechar este punto de entrada para el robo de información.

Según un informe generado por Microsoft, como resultado de un análisis realizado entre enero y marzo del 2026 por el equipo de Microsoft Threat Inteligencia, se detectó que el uso de códigos QR fue uno de los vectores de ataque utilizados por atacantes de más rápido crecimiento.

¿Cómo funciona una estafa con código QR?

El “Quishing” (QR Phishing), tiene como objetivo redirigir a sus víctimas hacia sitios web fraudulentos para solicitar información confidencial o descarga de malware. Existen dos métodos principales mediante los cuales los ciberdelincuentes exponen los códigos QR fraudulentos:

• Mediante la manipulación física, donde se adhieren códigos maliciosos sobre etiquetas auténticas en cajeros automáticos, terminales de pago, diversos servicios públicos e inclusive los dejan en sitios públicos como restaurantes, parquímetros, publicidad.
• A través del entorno digital, utilizando canales como sitios web apócrifos, campañas de correo no deseado (spam) o ataques dirigidos de spear phishing.

Una vez que la víctima escanea el código QR, en su dispositivo móvil lo redirigirá a una página web de aspecto real para aceptar pagos o datos personales o bien, mostrar un sitio web malicioso que se hace pasar por un sitio web real. A partir de aquí, se podría usar malware para comprometer tu dispositivo.

¿Qué hacer si se encuentra con estafas QR?

Al igual que el Smishing y Vishing, el éxito del ataque depende de la vulnerabilidad del factor humano, por lo que es importante adoptar una cultura de prevención y verificación constante.

Como ocurre con todo tipo de ataques de phishing, toma en cuenta que la mejor manera de evitar una estafa con código QR es tener máximo cuidado al proporcionar información personal:

• Revisa de manera cautelosa la vista previa de la página web del código QR. Al momento de escanear un código, te deberá mostrar una vista previa de la liga al sitio web. Comprueba que esa dirección parece legítima y corresponde al propósito del Código QR.
• Si el código QR está en un lugar público, comprueba si el código QR parece haber sido colocado encima de otro, o bien, si el código QR ha sido manipulado.
• Si el sitio web del código te solicita información personal, desconfía y verifica su autenticidad.
• Se recomienda verificar institucionalmente si el proveedor del servicio utiliza códigos QR como parte de su flujo de procesos oficial.
• Procura descargar aplicaciones de fuentes oficiales, evitando descargar por medio de códigos QR.

💡 Lectura recomendada:  Si quieres reforzar la seguridad de tus cuentas y transacciones, te invitamos a consultar nuestro blog «Evita fraudes bancarios: cómo reconocer sitios y correos falsos», donde aprenderás a identificar las señales de alerta clave para detectar la suplantación de identidad en canales digitales. 

¿Y si es demasiado tarde?

Mantén la calma, la rapidez de respuesta es fundamental para minimizar el impacto, se requiere actuar de inmediato para reducir riesgos. Toma en cuenta las siguientes etapas y recomendaciones:

1. Reconocer la situación

• Aceptar que has sido víctima de una estafa es el primer paso. No sentir vergüenza: los estafadores son expertos en manipulación psicológica.

2. Actuar de inmediato

• Contactar a tu banco o proveedor de servicios financieros para bloquear tarjetas, cuentas o transacciones sospechosas. Cambiar contraseñas en todas las cuentas relacionadas y activar la autenticación en dos pasos (2FA) para mayor seguridad.

3. Denunciar el fraude

• Reportar a las autoridades locales (en México, la Policía Cibernética y la CONDUSEF por medio de sus canales oficiales). Informar a la plataforma o empresa suplantada (banco, servicio digital, etc.).

4. Protección de la Identidad Digital

• Suscribirse a servicios de alerta sobre vulneración de datos y robo de identidad. Estar atento a intentos de phishing, smishing o vishing posteriores.

Recuerda que los códigos QR pueden ayudarnos a agilizar procesos en nuestro entorno diario, sin embargo también son un vector de ataque muy utilizado haciendo mal uso. La seguridad frente a este tipo de ataques no depende únicamente de las herramientas tecnológicas, sino también de la capacidad para identificar señales de alerta, la prevención y concientización son fundamentales.