07/08/2026
Los códigos QR, del inglés Quick Response (respuesta rápida), son códigos bidimensionales capaces de almacenar distintos tipos de información, como texto o una dirección de internet. Para leerlos, normalmente basta con enfocarlo con la cámara de un teléfono móvil.
Los códigos QR se han extendido ampliamente en la sociedad. A día de hoy se utilizan para consultar cartas de restaurantes, acceder a medios de transporte y eventos, conectarse a redes wifi, iniciar sesión en determinados servicios, etc.
La amplia utilización de estos códigos QR está siendo aprovechada por los ciberdelincuentes para dirigir a los usuarios a páginas fraudulentas o provocar descargas de aplicaciones o archivos maliciosos en sus dispositivos.
El QRishing (acrónimo de QR + Phishing) puede llevarse a cabo mediante correos electrónicos, redes sociales o aplicaciones de mensajería. También puede ejecutarse en soportes físicos como carteles, puntos de pago, parquímetros y mesas de establecimientos (colocando una pegatina con un código falso sobre el original).
Según el informe Email threat landscape: Q1 2026 trends and insights, realizado por Microsoft Threat Intelligence, las detecciones que utilizaban códigos QR pasaron de 7,6 millones en enero a 18,7 millones en marzo de 2026, lo que representa un incremento aproximado del 146%. En el conjunto analizado, los archivos PDF representaron entre el 65 % y el 70 % de los métodos de distribución observados.
Protégete del QRishing
- Confía solo en fuentes y canales oficiales. Evita escanear códigos de procedencia dudosa, manipulados o recibidos mediante comunicaciones no solicitadas. Comprueba que el soporte y el contexto sean coherentes con la empresa u organización que supuestamente los facilita.
- Revisa el enlace antes de abrirlo. Cuando el dispositivo muestre la dirección de destino, comprueba que coincida exactamente con la empresa u organización oficial a la que deseas acceder. Desconfía de enlaces acortados y de dominios poco habituales o con nombres que solo se parecen al original.
- Desactiva la apertura automática de enlaces. Configura la aplicación de la cámara o tu lector de códigos QR para que nunca abra una web automáticamente. Asegúrate de que siempre te muestre una previsualización de la URL y te pida confirmación antes de acceder.
- No te fíes únicamente del candado. La presencia de HTTPS indica que la comunicación con la página está cifrada, pero no garantiza que se trate del sitio web oficial. Es necesario comprobar el dominio completo.
- No descargues archivos directos. Un código QR nunca debería iniciar la descarga automática de un archivo. No continúes salvo que hayas verificado la legitimidad del origen y la descarga sea necesaria para la gestión que estás realizando.
- No introduzcas credenciales tras escanear. Si un QR en un espacio público te lleva a un formulario pidiendo tu usuario, contraseña, PIN o datos de tarjeta bancaria, detente. Accede siempre a esos servicios escribiendo la dirección manualmente en tu navegador.
- Comprueba los pagos antes de confirmarlos. Revisa dentro de la aplicación bancaria el importe, el beneficiario y el concepto. No autorices una operación que no reconozcas o cuyos datos no coincidan con lo esperado.
- Examina los códigos físicos. Antes de escanearlos, comprueba que no tengan pegatinas, relieves, restos de adhesivo u otros elementos colocados encima. Si detectas una posible manipulación, informa al responsable del establecimiento.
- No instales aplicaciones desde QR desconocidos. Utiliza los mercados oficiales y verifica el nombre del desarrollador, los permisos solicitados y la información disponible sobre la aplicación.
- Mantén actualizado el dispositivo. Instala las actualizaciones del sistema operativo, el navegador y las aplicaciones. Estas actualizaciones corrigen vulnerabilidades que podrían ser aprovechadas por páginas o programas maliciosos.
- No publiques ni compartas códigos QR personales, de acceso, identificación, pago, embarque o validación de entradas cuando puedan estar vinculados a tu identidad o permitir el uso de un servicio. Un tercero podría copiarlos y tratar de utilizarlos en tu nombre.
¿Qué hacer si has escaneado un código sospechoso?
- Si únicamente abriste la página, ciérrala sin introducir información, descargar archivos ni conceder permisos. Comprueba también que no se haya guardado ninguna descarga inesperada.
- Si facilitaste una contraseña, cámbiala inmediatamente desde el sitio web o la aplicación oficial. Si utilizabas la misma clave en otros servicios, modifícala también en esas cuentas. Revisa las sesiones abiertas o los dispositivos vinculados y elimina cualquier acceso que no reconozcas.
- Si proporcionaste datos bancarios, claves de firma o información de una tarjeta, contacta cuanto antes con tu entidad financiera mediante sus canales oficiales. Revisa los movimientos y sigue las indicaciones del banco para proteger las cuentas o medios de pago afectados. Conserva siempre que puedas hacerlo de forma segura, el mensaje o soporte en el que aparecía el código QR –o una fotografía de este–, la dirección web de destino, las capturas de pantalla y, si se realizó alguna operación, los comprobantes o datos de la transacción. Esta información puede ser útil para comunicar el fraude a la entidad financiera o a las autoridades.
- Si instalaste una aplicación, elimínala. Después, revisa los permisos que concediste y utiliza las funciones de seguridad disponibles en el dispositivo. Si el sistema lo permite, realiza un análisis con una solución de seguridad actualizada. Si observas comportamientos anómalos o la aplicación disponía de permisos de accesibilidad o administración, solicita asesoramiento especializado.
