🔍 Quishing: detectar un código QR falso

El quishing es el fraude que usa un código QR para llevarte a una web falsa. Funciona porque dentro de ese cuadrado no hay nada que puedas examinar antes de abrirlo: cuando ves la dirección, ya estás dentro. La defensa es leer el código sin escanearlo.

Qué es el quishing

El quishing es el fraude que usa un código QR como cebo para llevarte a una web falsa o a una descarga maliciosa. Es phishing de toda la vida, con la diferencia de que el enlace va escondido dentro de un dibujo que nadie puede leer a simple vista.

Ese detalle lo cambia todo. Con un enlace escrito puedes pasar el ratón por encima y ver a dónde apunta. Con un QR no hay nada que examinar: o lo escaneas o no lo escaneas, y para cuando ves la dirección ya estás dentro del navegador.

Por qué funciona tan bien

Funciona porque el QR ha entrado en la vida cotidiana asociado a cosas legítimas: la carta del restaurante, el billete, la wifi del hotel. Escanearlo se ha convertido en un gesto automático, y los gestos automáticos son el terreno favorito del fraude.

Hay un segundo motivo, más técnico. El escaneo suele hacerse con el móvil, donde el navegador enseña una barra de direcciones minúscula, a veces recortada, y donde la gente tiene la guardia más baja que delante del ordenador.

Y hay un tercero que afecta a las empresas: los filtros de correo llevan décadas analizando enlaces y adjuntos, pero un QR es una imagen. Muchos sistemas lo dejan pasar sin mirar qué hay dentro.

Los cinco sitios donde aparecen los QR falsos

Los códigos fraudulentos se colocan donde nadie sospecha, y casi siempre en soportes que la gente asocia con una autoridad. Estos son los cinco escenarios más repetidos.

Pegatinas encima del QR legítimo de un parquímetro, una recarga eléctrica o una carta de restaurante.
Correos que suplantan al departamento informático de una empresa y piden reactivar el acceso.
Cartas en papel con aspecto oficial, de bancos o de organismos, con un QR para verificar datos.
Carteles pegados en la vía pública que anuncian multas, sorteos o encuestas.
Paquetes que llegan sin haberlos pedido, con un QR para saber quién los envía.

El INCIBE ha documentado campañas de phishing con códigos QR en las que el código llega en el cuerpo del correo o dentro de un adjunto y lleva a una página de acceso clonada.

Cómo se disfraza la dirección dentro de un QR

Como nadie ve la dirección antes de escanear, quien fabrica el código puede usar trucos que en un enlace escrito llamarían la atención. Estos son los cuatro más frecuentes.

Truco	Cómo se ve	Cómo se detecta
Acortador de enlaces	Un dominio corto y neutro que no dice nada	El destino real solo se ve tras el salto: desconfía por norma
Dominio parecido	Una letra cambiada o un guion de más en un nombre conocido	Leer el dominio de derecha a izquierda hasta el punto final
Arroba en la dirección	Un nombre de confianza antes de una arroba	Todo lo que va antes de la arroba es decorado; lo real va después
Punycode	Letras de otro alfabeto que se ven igual que las latinas	El navegador suele mostrarlo empezando por xn con dos guiones, pero no siempre

Ninguno de estos trucos es nuevo. Lo nuevo es que dentro de un QR no hay forma humana de detectarlos antes de abrir el enlace.

La pegatina encima del QR bueno

El fraude físico más rentable consiste en imprimir una pegatina con el código falso y pegarla justo encima del legítimo. El sitio sigue siendo el de siempre, el cartel es el original y solo el cuadrado ha cambiado.

La sustitución física por pegatina es la variante más común en la calle, y se detecta con el dedo: un QR impreso de fábrica está al mismo nivel que el papel, y una pegatina tiene borde y se levanta por las esquinas.

Antes de escanear un QR en la calle, pásale el dedo por encima. Si tiene relieve, alguien lo ha puesto ahí después.

El quishing por correo: por qué esquiva los filtros

Un QR dentro de un correo es una imagen, y muchos filtros antifraude no extraen lo que hay codificado en ella. El mensaje llega limpio a la bandeja aunque el enlace de dentro esté en todas las listas negras.

Además hay un salto de dispositivo que juega a favor del atacante: el correo llega al ordenador de la empresa, pero el QR se escanea con el móvil personal, que no tiene las protecciones corporativas. El ataque se completa fuera del perímetro vigilado.

La señal de alarma que casi siempre está presente es la misma que en cualquier intento de phishing: urgencia. Tu cuenta se bloquea hoy, la contraseña caduca en una hora, el acceso se revoca esta tarde.

Cómo comprobar un QR antes de escanearlo

La forma segura de examinar un código es leerlo con una herramienta que enseñe el contenido sin abrirlo. Nuestro lector de códigos QR hace exactamente eso: muestra la dirección completa, destaca el dominio real, avisa si va sin cifrar y no abre nada por su cuenta.

Haz una foto del código o pega la imagen directamente en la página.
Lee la dirección completa antes de decidir nada.
Comprueba el dominio de derecha a izquierda: lo que importa es lo que hay justo antes de la barra.
Si es un acortador, no sigas: no puedes ver a dónde lleva.

Qué mirar en la vista previa del móvil

Si vas a escanear con la cámara del móvil, la única defensa es leer la previsualización antes de tocar la notificación. Los sistemas modernos la muestran, pero recortada, y esa es la parte que se aprovecha.

Mira el final del dominio, no el principio. Una dirección puede empezar con el nombre de tu banco y acabar en un dominio que no tiene nada que ver, y en una barra estrecha solo se ve el principio.

Señales de que la web a la que has llegado es falsa

Aunque el enlace haya pasado el primer filtro, la página de destino suele delatarse. Cinco señales que se repiten.

Te pide la contraseña de una cuenta que no tiene nada que ver con lo que estabas haciendo.
El diseño está bien copiado pero el dominio no es el de siempre.
Pide datos que el servicio real ya tiene: DNI completo, tarjeta, códigos de recuperación.
Va sin cifrar, con una dirección que empieza por http a secas.
Tiene un contador de tiempo o un mensaje de urgencia en la propia página.

Qué hacer si ya has escaneado uno

Si solo has abierto la página y no has escrito nada, el riesgo es bajo: cierra la pestaña y no vuelvas. El problema empieza cuando has introducido datos o has instalado algo.

Cambia la contraseña de la cuenta afectada desde la aplicación oficial, nunca desde el enlace.
Cámbiala también en cualquier otro sitio donde la estuvieras repitiendo.
Activa la verificación en dos pasos si no la tenías: es lo que impide que la contraseña robada sirva de algo.
Si has descargado un archivo, no lo abras y bórralo.
Si era una cuenta de trabajo, avísalo el mismo día. La vergüenza cuesta menos que el silencio.

Qué no protege del quishing

Conviene saber qué medidas no sirven aquí, porque generan una falsa sensación de seguridad. El candado del navegador no dice nada sobre la honradez de una web: solo dice que la conexión va cifrada, y una web fraudulenta también puede tenerlo.

Tampoco protege usar el móvil en lugar del ordenador, ni tener el sistema actualizado, ni escanear desde una aplicación de banco. Y una VPN no ayuda en absoluto: cifra tu tráfico, pero te lleva igual de rápido al sitio equivocado. Lo mismo pasa con ocultar tu dirección IP, que no tiene ninguna relación con este fraude.

Cómo proteger los códigos QR de tu negocio

Si tu negocio usa QR de cara al público, el riesgo no es solo para el cliente: es para tu reputación. Estas cuatro medidas cuestan poco y evitan la mayoría de sustituciones.

Imprime el código integrado en el diseño del cartel, no como una etiqueta aparte y pegable.
Plastifícalo o cúbrelo con una lámina, para que despegar y sustituir no sea trivial.
Revisa los soportes físicos con una rutina fija, igual que revisas el resto del local.
Usa un dominio propio y reconocible en el destino, nunca un acortador genérico.

Y si generas los códigos tú mismo, hazlo con una herramienta que no te obligue a pasar por un intermediario que pueda cambiar el destino más adelante. En cómo compartir el wifi con un código QR está el ejemplo más común de uso legítimo.

Qué pasa con los QR de las facturas y los pagos

Un QR de pago es especialmente peligroso porque el fraude no requiere robarte ninguna contraseña: basta con que el dinero salga hacia otra cuenta. En estos códigos van los datos del cobro, y cambiarlos es tan fácil como generar otro código.

La regla es sencilla: antes de confirmar un pago iniciado desde un QR, comprueba en la pantalla el nombre del destinatario y el importe. Si alguno no coincide con lo que esperabas, cancela. El código puede estar manipulado aunque el papel donde va impreso sea auténtico.

Fuente oficial

El INCIBE mantiene avisos públicos sobre campañas de phishing con códigos QR, en las que el código llega dentro del cuerpo del correo o de un adjunto y lleva a una página de acceso clonada. Consultado el 20 de agosto de 2026. Lo que contamos sobre la sustitución física de códigos en la calle es experiencia propia, no una cita de ese aviso.

Léelo antes de abrirlo

Sube la foto del código o pégala directamente. Te enseñamos el contenido completo, destacamos el dominio real y avisamos de acortadores, punycode y conexiones sin cifrar. Nunca abrimos el enlace por ti.

Leer un código QR sin abrirlo

Preguntas frecuentes

¿Qué es el quishing exactamente?

Es phishing hecho con códigos QR. El atacante codifica dentro del cuadrado un enlace a una web falsa o a una descarga maliciosa. Como nadie puede leer un QR a simple vista, la víctima no tiene forma de comprobar el destino antes de abrirlo.

¿Cómo sé si un código QR de la calle está manipulado?

Pásale el dedo. La sustitución más común es una pegatina pegada sobre el código legítimo, y una pegatina tiene relieve y bordes que se levantan. Si el cartel es original pero el cuadrado parece añadido, no lo escanees.

¿Es seguro escanear un QR si luego no escribo nada?

El riesgo baja mucho, pero no es cero: la simple visita revela tu dirección IP y datos del navegador, y algunas páginas intentan descargar archivos automáticamente. Si has abierto uno por error, cierra la pestaña y no introduzcas ningún dato.

¿Un antivirus me protege del quishing?

Puede bloquear la descarga de un archivo malicioso, pero no impide que introduzcas tu contraseña en una web clonada, que es lo que buscan la mayoría de estas campañas. La protección real es comprobar el destino antes de abrirlo y tener verificación en dos pasos.

¿Por qué los filtros de correo no detectan estos ataques?

Porque el enlace no viaja como texto, sino dentro de una imagen. Muchos sistemas analizan enlaces y adjuntos pero no descodifican los QR de las imágenes, así que el mensaje pasa aunque el destino esté en listas de bloqueo.

¿Qué hago si ya he metido mi contraseña?

Cámbiala de inmediato desde la aplicación oficial, nunca desde el enlace del correo, y cámbiala también en cualquier otro servicio donde la repitieras. Activa la verificación en dos pasos y, si era una cuenta de empresa, comunícalo el mismo día.

La versión corta

El quishing esconde el enlace dentro de un dibujo que nadie puede examinar a simple vista.
La estafa física más común es una pegatina sobre el código legítimo: se detecta con el dedo.
Los filtros de correo no suelen leer lo que hay dentro de una imagen.
Antes de escanear, lee el contenido con un lector que no abra el enlace.
Si ya has caído, la verificación en dos pasos es lo que salva la cuenta.

Letaca — Agencia de marketing digital. Edición de vídeo, miniaturas, gestión de redes y herramientas online.

Quishing: cómo detectar un código QR falso antes de escanearlo