Quishing en 2026: Por Qué Se Disparó el Phishing con Códigos QR y Cómo Proteger tu Negocio

Introducción

Si 2025 fue el año en que los equipos de seguridad empezaron a hablar del quishing, 2026 es el año en que se volvió masivo. Según Microsoft Threat Intelligence, el volumen mensual de phishing con códigos QR por email pasó de 7,6 millones en enero a 18,7 millones en marzo de 2026, un aumento del 146% en un solo trimestre que lo convirtió en el vector de ataque de más rápido crecimiento que analizó. Publicaciones económicas como Forbes ya hablan de la “gobernanza de códigos QR” como un tema de dirección.

La razón es sencilla: un código QR oculta su destino. No puedes pasar el ratón por encima como con un enlace en un email, y la mayoría de la gente escanea primero y piensa después. Los atacantes se han dado cuenta.

Ya cubrimos los fundamentos en nuestra guía de seguridad en códigos QR. Este artículo se centra en lo nuevo de 2026, por qué los ataques crecen tan rápido y un plan concreto que cualquier empresa puede aplicar este trimestre.

Por Qué el Quishing Crece Tan Rápido

Los Filtros de Correo No Leen Bien las Imágenes

La seguridad tradicional del correo analiza enlaces de texto. Cuando la URL maliciosa está dentro de la imagen de un código QR, muchos filtros la dejan pasar. La víctima escanea entonces con su móvil personal, fuera de la protección corporativa.

Las Pantallas Móviles Ocultan las Señales de Alarma

En el móvil, las URLs aparecen cortadas y cuesta más detectar un dominio falso. Las páginas para robar credenciales ya se diseñan específicamente para pantallas pequeñas.

La IA Hace los Engaños Más Convincentes

La IA generativa permite crear en segundos emails impecables, páginas de marca realistas y mensajes personalizados en cualquier idioma. Las faltas de ortografía ya no son una señal fiable.

Los Códigos QR Están en Todas Partes

Aparcamientos, restaurantes, entradas, facturas, envases y trámites públicos usan códigos QR. Cuanto más normal es escanear, menos sospecha la gente.

Las Tácticas de Quishing que Vemos en 2026

1. El Email de “Acción Urgente”

Un correo que suplanta a IT, RR. HH., finanzas o un servicio conocido pide escanear un QR para “reactivar la autenticación en dos pasos”, “revisar una actualización de nómina” o “firmar un documento”. La página es una copia de una pantalla de acceso real.

2. Multas Falsas de Aparcamiento y Tráfico

Pegatinas en parquímetros, avisos en el parabrisas y SMS sobre peajes pendientes llevan a páginas de pago falsas. La FTC de EE. UU. ha advertido sobre estafadores que tapan los QR de los parquímetros con los suyos. Son estafas baratas de montar.

3. Robo de Cuentas Vinculando Dispositivos

Las apps de mensajería y algunos servicios web permiten vincular un dispositivo nuevo escaneando un QR. Los estafadores envían un código disfrazado de “invitación a un grupo” o “verificación” y, cuando la víctima lo escanea dentro de la app, vincula sin saberlo el dispositivo del atacante a su cuenta. Google Threat Intelligence documentó esta misma técnica contra usuarios de Signal en 2025.

4. Entradas y Acreditaciones Falsas

Los grandes eventos atraen a vendedores falsos que comparten capturas de códigos QR inválidos o vendidos a varias personas. Lo analizamos en detalle en nuestro artículo sobre los códigos QR en el Mundial 2026.

5. Códigos Físicos Manipulados

Los atacantes pegan etiquetas fraudulentas sobre códigos legítimos en cartas, carteles, cargadores y bicicletas de alquiler, redirigiendo los escaneos a páginas de phishing o malware.

6. Facturas y Solicitudes de Pago Falsas

Las facturas en PDF con un QR de “escanea para pagar” que apunta a la cuenta del atacante son cada vez más habituales en fraudes de suplantación empresarial.

Cómo Detectar un Código QR Malicioso

Enseña a tu equipo y a tus clientes estos hábitos:

• Haz una pausa antes de escanear algo inesperado, sobre todo en emails, SMS o pegatinas.
• Lee la URL de vista previa que muestra la cámara antes de abrirla. Revisa bien el dominio.
• Nunca introduzcas contraseñas ni datos de pago en una página a la que llegaste con un QR inesperado. Entra desde la app oficial o escribe tú la dirección.
• Desconfía de la urgencia: “tu cuenta será cerrada”, “paga en 24 horas”, “últimas entradas”.
• Revisa los códigos físicos por si tienen una pegatina encima de la impresión original.
• Nunca escanees un QR dentro de una app de mensajería si no fuiste tú quien inició la vinculación de dispositivo.

Plan Anti-Quishing de 30 Días para Empresas

Semana 1: Inventaria tus Propios Códigos QR

Haz una lista de todos los QR que tu empresa tiene en circulación: envases, señalética, cartas, facturas, marketing y eventos. Anota adónde apunta cada uno. Si generas códigos de forma masiva, guarda la hoja de cálculo que usaste como registro maestro.

Semana 2: Limpia los Destinos

Asegúrate de que cada código apunte a tu propio dominio con HTTPS, no a enlaces cortos anónimos. Retira los códigos de campañas caducadas. Añade tu logo al código para que los clientes reconozcan los auténticos.

Semana 3: Forma a tu Equipo

Organiza una sesión breve de concienciación con ejemplos reales. Incluye un email de quishing simulado en tu próximo ejercicio de seguridad. Recuerda al equipo de finanzas que nunca pague una factura basándose solo en un código QR.

Semana 4: Protege tus Espacios Físicos

Revisa periódicamente los códigos de cara al público. Usa materiales a prueba de manipulación o imprime los códigos directamente sobre la superficie en lugar de usar pegatinas. Indica a los clientes dónde están los códigos oficiales, por ejemplo: “Nuestro único QR de pago está impreso en la caja”.

Cómo Pueden Generar Confianza las Empresas Legítimas

El quishing no solo perjudica a las víctimas. Erosiona la confianza en todos los códigos QR, incluidos los tuyos. Puedes contrarrestarlo:

1. Usa un dominio reconocible que coincida con tu marca.
2. Personaliza tus códigos con tu logo y colores. Nuestra guía para crear códigos QR profesionales explica cómo hacerlo sin afectar la lectura.
3. Añade contexto junto a cada código: qué hace y adónde lleva, por ejemplo “Escanea para ver la carta en tumarca.com/carta”.
4. Evita pedir inicio de sesión o pagos justo después del escaneo si no es necesario.
5. Usa generadores limpios que codifiquen exactamente la URL que les das, sin redirecciones ocultas ni rastreo de terceros.

Conclusión

El quishing funciona porque explota la confianza y la comodidad. La solución no es abandonar los códigos QR, que siguen siendo uno de los puentes más útiles entre lo físico y lo digital, sino usarlos con intención: dominios conocidos, contexto claro, auditorías periódicas y usuarios formados.

Si necesitas regenerar tus códigos para que todos apunten a tu propio dominio, MultipleQR te permite crear cientos o miles de códigos QR estáticos y limpios desde una sola lista, sin redirecciones intermedias, y descargarlos en un único ZIP. Recupera hoy el control de tus códigos QR.