Los códigos QR se han convertido en una vía más para distribuir estafas de phishing, una técnica que suplanta servicios o empresas para conseguir datos. ESET denomina quishing a esta variante, una palabra formada a partir de QR y phishing, y sitúa a España entre los países donde más se ha detectado.
Durante el primer semestre de 2026, los códigos QR aparecieron en aproximadamente el 11 % de los correos electrónicos de phishing analizados por ESET Latinoamérica. La familia identificada como QRCode/Phishing ocupó el séptimo puesto entre las principales amenazas distribuidas por correo electrónico, según el informe ESET Threat Report H1 2026.
España concentró el 17 % de las detecciones de esta modalidad, solo por detrás de Estados Unidos, con el 19 %. México representó el 6 % de los registros. El informe recoge así la presencia de esta técnica en distintos países, no solo en campañas dirigidas a una región concreta.
El engaño puede aparecer en formato digital o físico. En el primer caso, el código se incluye en un correo, un documento PDF, un mensaje de WhatsApp o SMS, una página web o un perfil de redes sociales. En el segundo, puede estar impreso en carteles, folletos, paquetes o papeles colocados en un vehículo. ESET también señala como riesgo los adhesivos que se colocan sobre códigos legítimos.
Al escanear uno de estos códigos, la persona puede acabar en una página de inicio de sesión falsa, una pantalla de pago fraudulenta o una descarga maliciosa. El destino también puede provocar una acción dentro de una aplicación legítima. La diferencia frente a un enlace visible es que la dirección queda oculta hasta que se utiliza el código, por lo que el usuario no puede revisarla antes de escanearlo.
Cómo reconocer el quishing
La modalidad puede presentarse en mensajes y documentos digitales, pero también mediante códigos colocados en espacios físicos. Por eso, ESET recomienda conocer los escenarios en los que puede aparecer antes de interactuar con ellos:
- Correo electrónico: el QR puede formar parte del mensaje o de un PDF adjunto.
- Mensajería y redes sociales: puede llegar a través de WhatsApp, SMS, una web o un perfil social.
- Entornos físicos: puede encontrarse en carteles, folletos, paquetes o pegatinas superpuestas a códigos legítimos.
La investigación de ESET analiza correos reales detectados y explica cómo protegerse y qué hacer si ya se ha escaneado un código sospechoso. El objetivo es que el usuario no dé por legítimo un código solo porque aparezca en un soporte conocido: el patrón visual no permite comprobar por sí mismo cuál será la dirección de destino.
