El fraude con códigos QR bate récords en España: el 17% de los ataques mundiales de 'quishing' se detectan en el país

España, segundo país del mundo en ataques de 'quishing'

El informe de ESET, especializada en ciberseguridad, revela que el fraude con códigos QR ha batido récords en el primer semestre de 2026. España concentra el 17% de todas las detecciones mundiales de quishing registradas por la compañía durante el periodo analizado, una posición especialmente destacada que solo supera Estados Unidos.

El estudio también señala que aproximadamente el 11% de todos los correos electrónicos de phishing detectados por ESET utiliza ya códigos QR, con una media de alrededor de 100.000 detecciones mensuales. Esta cifra refleja una tendencia creciente a utilizar este método para eludir los filtros de seguridad tradicionales basados en el análisis de enlaces.

Cómo operan los ciberdelincuentes: del correo fraudulento a la pegatina en un parquímetro

El quishing puede comenzar con un correo aparentemente legítimo que suplanta a una empresa, una entidad bancaria, un proveedor tecnológico o incluso al departamento de recursos humanos de una organización. En lugar de incluir un enlace convencional, el mensaje pide al usuario que escanee un código QR para confirmar su identidad, revisar un documento, actualizar una contraseña o resolver una supuesta incidencia urgente.

Al escanearlo, la víctima es redirigida a una página fraudulenta diseñada para imitar un servicio legítimo y solicitar credenciales, datos personales o información bancaria. ESET advierte de que este fraude ya no se limita al entorno digital: los delincuentes también colocan códigos QR falsos en lugares físicos donde los usuarios esperan encontrarlos, como parquímetros, bicicletas compartidas, mesas de restaurantes, carteles informativos o máquinas de pago.

En algunos casos, basta con pegar una etiqueta con un código malicioso sobre el original. También se han detectado códigos fraudulentos en falsas multas de aparcamiento, avisos de peajes pendientes o comunicaciones que simulan proceder de servicios públicos. El usuario escanea un código que cree legítimo, con la intención de realizar un pago, y termina introduciendo los datos de su tarjeta en una web controlada por los atacantes.

Siete claves de ESET para evitar caer en el fraude

Para evitar caer en este tipo de estafas, ESET recomienda hasta siete pautas antes de usar un código QR en un lugar público. La primera es pensar antes de actuar: el hecho de que un código se encuentre en un lugar aparentemente legítimo no significa necesariamente que sea seguro. También aconseja revisar que el código físicamente colocado no haya sido manipulado o muestre indicios de haberlo sido.

Antes de abrir el enlace, la compañía recomienda comprobar la dirección. La mayoría de lectores QR de los móviles muestran una vista previa del enlace, por lo que conviene revisar el dominio, buscar errores ortográficos y desconfiar de direcciones acortadas. En cualquier caso, la clave más importante es no introducir datos sensibles inmediatamente. Si una página abierta mediante un QR solicita contraseñas, información bancaria o datos personales, es preferible cerrar el navegador y acceder al servicio escribiendo manualmente su dirección o utilizando su aplicación oficial.

ESET también recomienda usar siempre los canales oficiales para realizar pagos y, ante una supuesta multa o cobro pendiente, hacerlo por otra vía. Desconfiar siempre de un QR recibido por correo electrónico, con la misma cautela que si fuera una pegatina en un lugar físico, y proteger el teléfono manteniendo el sistema operativo y las aplicaciones actualizados, utilizando una solución de seguridad y activando la autenticación multifactor.