Qué es el quishing
Es una estafa que combina dos palabras: QR y phishing. El delincuente esconde una dirección falsa dentro de un código QR en lugar de enviarte un enlace que puedas leer. Cuando escaneas el código, terminas en una página fraudulenta sin haber visto a dónde ibas.
El ataque llega de varias formas: en un correo electrónico, en un PDF, en un mensaje de WhatsApp o SMS, pegado sobre un código QR legítimo en la calle, o en redes sociales.
Por qué funciona
Los códigos QR cambian el juego respecto al phishing tradicional. Primero, el estafador te saca de tu computadora de trabajo (que tiene filtros y antivirus) y te lleva al celular, que muchas veces no tiene las mismas protecciones. Segundo, el destino del código queda oculto: no podés ver a dónde va antes de escanear. Tercero, los mensajes suelen ser muy cortos, así no hay errores ortográficos que te alerten. Y cuarto, los códigos QR ya son normales en la vida diaria, así que confiamos en ellos sin pensar.
Según un reporte de seguridad, los códigos QR aparecieron en alrededor del 11% de los correos de phishing detectados en el primer semestre de 2026. En América Latina, México fue el país con más casos de esta estafa.
Ejemplos reales
El falso correo de DocuSign: llega un mail que parece de DocuSign (una plataforma para firmar documentos) diciendo que tenés un documento para revisar. En lugar de un enlace, hay un código QR con un botón que dice "escanea para revisar". Si lo haces, terminas en una página falsa que roba tu contraseña.
El engaño del salario: recibes un mensaje que dice "Escanea el QR para ver tu nuevo salario". La curiosidad te lleva a hacerlo desde el celular, lejos de las protecciones de tu trabajo.
Qué puede pasar si caes
- Robo de contraseñas: terminas en una página falsa de tu banco, mail o aplicación corporativa.
- Pagos fraudulentos: el código abre una pantalla de pago con datos precargados. Si no revisas bien, autorizas un fraude.
- Descarga de apps maliciosas: el código te lleva a instalar un programa falso que roba datos de tu celular.
Señales de alerta
Desconfiá si ves:
- Un código pegado encima de otro o que se ve manipulado.
- Un código que llegó sin pedirlo, en un mail raro o en un papel tirado en la calle.
- Mensajes de urgencia: "actúa ya", "tu cuenta está bloqueada", "tiempo limitado".
- La URL que ves después de escanear no corresponde al servicio que esperabas.
- Te piden que ingreses contraseñas, códigos de dos pasos o datos bancarios después de escanear.
- Te piden instalar una app para continuar.
Cómo protegerte
Antes de escanear: si tu lector de códigos QR muestra la dirección de destino, verificala. ¿Corresponde al sitio que esperabas? Si algo no cierra, no continues.
Prioriza los canales oficiales: si querés ver una factura, un envío, un beneficio o hacer un trámite, ingresá manualmente a la web oficial o usá la app oficial. No confíes en códigos que llegaron por mail o mensaje.
Revisa antes de confirmar: cuando vayas a pagar o ingresar contraseñas, mirá bien la información que ves en pantalla. No dejes que la prisa te haga meter la pata.
No instales apps desde códigos desconocidos: descargá software solo de Google Play o la App Store.
Si dudas, verifica por otro lado: recibiste un QR de tu banco pidiendo que actualices datos. En lugar de escanear, llamá al número que figura atrás de tu tarjeta o ingresá a la web oficial del banco.
Mantené el celular actualizado: instala parches de seguridad y usá una solución de antivirus confiable.