Qué es el quishing o phishing con códigos QR y cómo protegerte
El quishing usa códigos QR para ocultar enlaces y dirigir a páginas falsas. Aprende a reconocer señales de alerta y a decidir con seguridad antes de abrir un código.
Los códigos QR se han convertido en una forma cotidiana de abrir menús, pagar, descargar una aplicación o registrarse en un servicio. Esa comodidad tiene una limitación importante: a simple vista no muestran la dirección a la que llevarán. El quishing —también llamado phishing con códigos QR— aprovecha precisamente esa falta de visibilidad para dirigir a una persona hacia una página fraudulenta.
El objetivo no cambia respecto al phishing tradicional: conseguir credenciales, datos de pago, códigos de verificación o que la víctima instale algo no deseado. Lo que cambia es el canal. En vez de hacer clic en un enlace de un correo, se escanea un código colocado en un cartel, una factura, una pegatina superpuesta o una imagen recibida por mensaje.
Por qué un QR puede ser engañoso
Un enlace escrito permite, al menos, revisar el dominio antes de abrirlo. Un QR concentra esa información en un patrón visual que normalmente se abre con la cámara en segundos. Quien intenta engañar puede aprovechar la urgencia: “actualiza tus datos”, “recoge un paquete”, “paga el aparcamiento” o “confirma tu cuenta”.
El riesgo aumenta cuando el QR aparece donde esperamos verlo. Una pegatina maliciosa colocada sobre un código legítimo o un correo que imita a una empresa conocida pueden generar confianza suficiente para que el usuario no se detenga a revisar el destino.
Señales de alerta antes de escanear
- El contexto no encaja. Un QR para recuperar una contraseña, para un pago inesperado o para cambiar datos personales merece una comprobación adicional.
- El código parece añadido. Busca pegatinas, bordes, colores o tamaños que no coincidan con el soporte original.
- Hay presión o amenaza. Mensajes que exigen actuar “ahora” o anuncian una penalización suelen intentar reducir tu tiempo de decisión.
- El destino no es el dominio esperado. Muchos teléfonos muestran la dirección antes de abrirla: úsalo como un paso de verificación, no como una pantalla que cerrar deprisa.
- El código llega de una fuente dudosa. Un QR recibido por un número desconocido o reenviado sin explicación no es una vía segura para iniciar sesión o pagar.
Cómo escanear códigos QR con más seguridad
Detente antes de abrir la URL
El primer control es muy sencillo: escanea, pero no continúes automáticamente. Revisa la dirección que propone el teléfono. Si no reconoces el dominio, si parece una variante extraña de una marca o si utiliza un acortador sin un motivo claro, no sigas.
Para operaciones sensibles, entra por tu propia vía
Si necesitas acceder a un banco, una administración pública, una tienda o un servicio que requiere contraseña, abre la aplicación oficial o escribe tú mismo la dirección conocida. Un QR puede ser útil como atajo; no debe ser el único criterio de confianza.
No entregues códigos ni credenciales después de escanear
Una página abierta desde QR puede imitar perfectamente una pantalla de inicio de sesión. Antes de escribir una contraseña, comprueba el dominio y piensa si esa acción era esperable. Nadie debería pedirte un código MFA para “cancelar” un acceso o validar por sorpresa una operación que no iniciaste.
Mantén el móvil actualizado
Actualiza el sistema y las aplicaciones, usa bloqueo de pantalla y revisa qué aplicaciones tienen permiso para instalar contenido o abrir enlaces. Son medidas generales, pero reducen el margen de maniobra si una interacción termina en una página maliciosa.
He escaneado un QR sospechoso: qué hago ahora
Si solo has abierto una página y no has introducido datos ni descargado nada, ciérrala. No es necesario entrar en pánico, pero conviene recordar dónde apareció y avisar al responsable si era un QR situado en un establecimiento u organización.
Si escribiste una contraseña, cámbiala desde el sitio o app oficial y cierra las sesiones que no reconozcas. Si reutilizabas esa clave, cambia también las demás cuentas afectadas. Si introdujiste datos de pago, contacta cuanto antes con la entidad correspondiente. Conserva capturas o el mensaje original para facilitar el análisis.
Un hábito que protege mucho
La regla práctica es: un código QR no convierte un enlace en confiable. Trátalo como tratarías un enlace de correo o mensajería. Verifica el contexto, revisa el dominio y usa un canal independiente cuando el paso implique credenciales, dinero o información personal.
INCIBE recomienda comprobar la URL que aparece antes de acceder y utilizar vías oficiales para servicios sensibles; su guía de uso fiable y seguro de códigos QR ofrece más recomendaciones para ciudadanía.
También puedes revisar nuestra guía general sobre qué es el phishing y cómo reconocerlo: el quishing es una de sus variantes, no un problema aislado.