Los códigos QR se consolidaron como una herramienta de fraude digital durante la primera mitad de 2026. Según el ESET Threat Report H1 2026, España y México figuran entre los tres países con más detecciones de esta modalidad a nivel mundial, solo por detrás de Estados Unidos.
El informe, elaborado por ESET Latinoamérica, revela que estos códigos estuvieron presentes en alrededor del 11% de los correos electrónicos de phishing analizados durante el semestre, lo que ubicó a la amenaza conocida como QRCode/Phishing en el séptimo lugar entre las principales campañas maliciosas distribuidas por correo electrónico.
Por qué España y México concentran las detecciones de phishing con QR
El ESET Threat Report H1 2026 ubicó a Estados Unidos en el primer lugar de detecciones de esta modalidad, con el 19% de los casos registrados a nivel mundial, seguido por España con el 17% y México con el 6%.
Esta distribución geográfica coincide con un fenómeno más amplio: la expansión del uso cotidiano de los códigos QR en pagos, trámites y comunicaciones comerciales, que amplió las oportunidades para que los ciberdelincuentes los utilicen como vehículo de engaño.
En el caso específico de América Latina, los registros de ESET muestran que México lideró los registros regionales asociados a esta modalidad durante el primer semestre de 2026.
La familia QRCode/Phishing figuró entre las amenazas compartidas más extendidas de la región, lo que confirma que esta técnica ya tiene presencia consolidada en el territorio latinoamericano y no se trata de un fenómeno aislado o emergente.
El quishing es una técnica de ingeniería social en la que un atacante oculta una dirección maliciosa dentro de un código QR en lugar de enviarla como un enlace visible. A diferencia del phishing tradicional, la víctima no puede leer ni cuestionar el destino antes de escanear, porque permanece oculto en un patrón de cuadrados blancos y negros hasta el momento mismo de la acción.
Qué es el quishing y cómo actúa el ciberdelincuente
El término “quishing” surge de la combinación de “QR” y “phishing”. El ataque puede producirse en dos escenarios diferenciados. El primero es el digital, donde el código QR llega en el cuerpo de un correo electrónico, en un archivo PDF adjunto, en un mensaje de WhatsApp o SMS, o aparece en un sitio web o perfil de redes sociales.
El segundo escenario es el físico, que incluye códigos impresos en carteles, folletos, papeles colocados en el parabrisas de un vehículo o paquetes. Uno de los casos más frecuentes es el de adhesivos pegados encima de un código QR legítimo, lo que permite al atacante suplantar una fuente confiable sin levantar sospechas inmediatas.
Una vez que la víctima escanea el código, puede ser dirigida a una página falsa de inicio de sesión, a una pantalla de pago, a la descarga de una aplicación maliciosa o a una acción dentro de una aplicación legítima.
Jonathan Ramos, investigador de Seguridad Informática de ESET Latinoamérica, explicó el motivo detrás de esta estrategia: “Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad”.
El propio ESET Threat Report H1 2026 destaca que los atacantes utilizan códigos QR para desplazar la interacción hacia dispositivos móviles y dificultar una inspección rápida de los enlaces maliciosos. Ese traslado de dispositivo resulta determinante, porque reduce las barreras de seguridad que suelen existir en entornos corporativos.
El caso DocuSign, un ejemplo real de estafa con código QR
Entre los correos electrónicos reales detectados por ESET y presentados en el ESET Threat Report H1 2026 se encuentra un caso que imita una notificación de DocuSign, plataforma de firma electrónica ampliamente utilizada por empresas.
Según los datos regionales de ESET, DocuSign fue una de las marcas más utilizadas por los atacantes en campañas de phishing observadas en América Latina durante el semestre.
El mensaje fraudulento utiliza la identidad visual de la compañía e informa que un documento fue completado para revisión y firma. Incluye un botón amarillo que indica que se debe escanear el código QR para revisar y completar el documento, pero ese botón no dirige a ningún sitio real. La única forma de continuar es apuntar la cámara al código, lo que obliga a la víctima a trasladar la interacción al celular.
El correo contiene muy poco texto, lo que deja pocas señales para sospechar del engaño. La dirección a la que conduce permanece oculta dentro de la imagen, una característica que distingue a esta modalidad del phishing convencional basado en enlaces visibles.
Qué puede hacer el ciberdelincuente tras el escaneo del código
Una vez que la estafa llega al celular, el atacante dispone de varias vías de explotación. La primera es el robo de credenciales y el secuestro de sesiones, mediante páginas falsas de inicio de sesión de bancos, servicios de correo o aplicaciones corporativas adaptadas a pantallas móviles.
La segunda vía corresponde a los pagos fraudulentos. Algunos códigos QR abren pantallas de pago o dirigen a operaciones con datos precargados, lo que reduce las posibilidades de que la víctima detecte irregularidades si no revisa con atención la información antes de confirmar la transacción.
La tercera vía es la instalación de aplicaciones maliciosas. El código QR puede conducir a la descarga de aplicaciones fuera de las tiendas oficiales o a sitios preparados para distribuir software malicioso, sin que la víctima perciba de inmediato el riesgo que corre su dispositivo.
Señales para identificar un código QR sospechoso
ESET comparte una serie de indicios que permiten sospechar de un código QR malicioso. Uno de los más frecuentes es que el código esté pegado encima de otro o presente señales de manipulación física. También resulta sospechoso que llegue sin haber sido solicitado, mediante correo electrónico, mensaje o en un soporte físico inesperado.
Otras señales de alerta incluyen mensajes de urgencia, presión temporal o advertencias alarmistas que acompañan al código, así como una URL mostrada que no coincide con el servicio esperado o que presenta irregularidades evidentes.
Finalmente, deben generar sospecha los códigos que solicitan datos sensibles, como contraseñas, códigos de verificación o información financiera, o que piden instalar una aplicación para continuar con el proceso.
Recomendaciones de ESET para prevenir el quishing
Entre las buenas prácticas que propone ESET se encuentra escanear con cautela y revisar la URL antes de continuar, verificando que la dirección de destino mostrada por el lector corresponda al sitio esperado.
La compañía recomienda además priorizar los canales oficiales para consultar facturas, envíos, beneficios o trámites, ingresando manualmente al sitio web o utilizando la aplicación correspondiente.
Otra medida central consiste en revisar siempre la información antes de confirmar una operación, en particular cuando implica pagos o el ingreso de credenciales.
ESET también aconseja no instalar aplicaciones desde códigos QR desconocidos y descargar software únicamente desde las tiendas oficiales, además de verificar cualquier duda a través de un canal oficial y mantener el celular actualizado y protegido con una solución de seguridad confiable.
