Las estafas que utilizan códigos QR para dirigir a páginas falsas crecieron 146% en un período de tres meses, según datos difundidos por Microsoft. La compañía detectó 18,7 millones de ataques de este tipo durante marzo, frente a los 7,6 millones registrados en enero. La modalidad, conocida como quishing, aprovecha que el usuario no puede ver con claridad qué dirección web se esconde detrás del código antes de escanearlo.

El engaño ganó terreno a medida que los QR se incorporaron a actividades cotidianas como consultar menús, pagar estacionamientos, acceder a promociones o realizar compras. Los delincuentes pueden reemplazar un código legítimo por otro o enviar uno manipulado dentro de un correo, un archivo PDF o un documento. Después del escaneo, la víctima es dirigida a una página diseñada para imitar bancos, plataformas empresariales u otros servicios y pedirle datos personales o financieros.

Por qué los códigos QR facilitan el engaño

Una de las principales diferencias frente al phishing tradicional es que el enlace permanece oculto hasta el momento del escaneo. En un correo electrónico convencional, el usuario puede inspeccionar la dirección antes de abrirla, mientras que un QR muestra únicamente una imagen formada por pequeños cuadros. Esa característica permite disfrazar con mayor facilidad el destino real.

El problema también aumenta cuando el código se abre desde un teléfono celular. En entornos laborales, el dispositivo puede quedar fuera de algunas de las herramientas de seguridad que controlan la navegación en las computadoras corporativas. El atacante consigue así trasladar a la víctima hacia un entorno con menos filtros y una pantalla más pequeña, donde reconocer una dirección falsa puede resultar más difícil.

La expansión no se limita a códigos colocados físicamente en comercios. Un reporte de Barracuda indicó que el 70% de los archivos PDF maliciosos analizados contenía códigos QR que llevaban a páginas de phishing. El mismo estudio encontró esta modalidad en el 56% de los documentos maliciosos vinculados con Microsoft 365.

También pueden manipular códigos en lugares públicos

Los códigos impresos en restaurantes, estacionamientos, terminales de transporte o espacios turísticos también pueden ser alterados. Una técnica consiste en pegar un adhesivo con un QR fraudulento sobre el original para que el usuario crea que pertenece al establecimiento. El destino puede ser una página de pago falsa, una suscripción no solicitada o un sitio preparado para capturar credenciales.

Un caso reportado por el Instituto Nacional de Ciberseguridad de España mostró cómo una usuaria escaneó el código de un menú en un restaurante y terminó activando una suscripción premium después de aceptar una ventana emergente. Otros clientes del mismo establecimiento habían pasado por situaciones similares. El episodio mostró que incluso un código ubicado en un espacio conocido puede haber sido manipulado.

La expansión de los menús digitales aumentó las oportunidades para este tipo de fraude. Datos citados en el informe indican que cerca del 75% de los restaurantes utiliza códigos QR para ofrecer acceso a sus cartas, mientras su uso también creció con fuerza en marketing y publicidad. La familiaridad con la herramienta puede llevar a que muchas personas escaneen sin revisar primero dónde está colocado el código.

Cómo detectar un QR sospechoso antes de escanearlo

Los especialistas recomiendan observar primero si el código parece haber sido pegado encima de otro, tiene bordes levantados, colores diferentes o presenta señales de haber sido colocado recientemente. También conviene utilizar la vista previa que muestran muchas cámaras antes de abrir el enlace y revisar con atención el dominio que aparece en pantalla. Si el sitio solicita inmediatamente una contraseña, datos bancarios o información personal, es recomendable detener la operación.

La precaución debe aumentar cuando el código aparece en un mensaje inesperado o promete premios, descuentos o accesos urgentes. Los ciberdelincuentes suelen aprovechar la presión para que la víctima actúe sin verificar el destino. Los códigos QR no son peligrosos por sí mismos, pero su capacidad para ocultar enlaces los convirtió en una herramienta cada vez más utilizada para disfrazar ataques de phishing.