ESET detectó códigos QR en cerca del 11% del phishing por correo en 2026. Esta guía explica las señales de alerta y dónde reportar.
TL;DR: El quishing es phishing escondido en un código QR. ESET detectó QR en cerca del 11% de los correos de phishing del primer semestre de 2026. Si ya escaneaste uno sospechoso, no ingreses datos, cambia tus claves, llama a tu banco y denuncia en CAI Virtual o A Denunciar.
El quishing es una estafa de phishing que esconde el enlace malicioso dentro de un código QR, así que no puedes leerlo antes de abrirlo. Según ESET, cerca del 11% de los correos de phishing que detectó en el primer semestre de 2026 usaba códigos QR.
El fraude no vive solo en el correo. Puede llegar por WhatsApp, SMS, un PDF o un adhesivo pegado sobre un QR real, y por eso conviene reconocerlo antes de apuntar la cámara.
¿Qué es el quishing y cómo funciona?
El quishing combina «QR» y «phishing»: el atacante oculta una dirección maliciosa en un código QR en lugar de enviarla como enlace visible.
Un enlace escrito se puede leer, comparar y cuestionar. En cambio, el destino de un código QR queda oculto en un patrón de cuadrados blancos y negros hasta que lo escaneas.
Jonathan Ramos, de ESET Latinoamérica, explica que el delincuente traslada la interacción a un celular con menos protección que la computadora del trabajo, un dispositivo que «muchas veces no cuenta con las mismas medidas de seguridad».
ESET resume en cuatro puntos por qué cambia el escenario del ataque:
- La estafa salta de la computadora protegida al celular, que suele ser personal y no tiene los mismos filtros.
- El enlace queda oculto dentro del código, y algunas soluciones de seguridad lo inspeccionan con más dificultad.
- Los mensajes llevan muy poco texto, así que hay menos errores de ortografía que despierten sospechas.
- Escanear QR ya es un hábito cotidiano, y eso baja la guardia de quien los usa a diario.
¿Qué tan común es el quishing en 2026?
Los códigos QR aparecieron en cerca del 11% de los correos de phishing que detectó ESET en el primer semestre de 2026 (ESET Threat Report H1 2026).
QRCode/Phishing ocupó el séptimo lugar entre las principales amenazas distribuidas por correo durante ese periodo. Es una señal de que el QR ya no es un recurso marginal para los estafadores.
Por países, Estados Unidos concentró el 19% de las detecciones de esta modalidad, España el 17% y México el 6%. En América Latina, México lideró los registros.
ESET no publicó una cifra específica para Colombia. Los porcentajes son globales o regionales, y conviene leerlos así.
¿Cómo se ve un ataque de quishing real?
Los dos casos que analiza ESET sustituyen el enlace por un QR: un falso aviso de DocuSign para firmar un documento y un mensaje que promete mostrar un «nuevo salario».
El primero imita una notificación de DocuSign, la plataforma de firma electrónica. El correo usa la identidad visual de la empresa y un botón amarillo que en realidad no lleva a ningún sitio, de modo que la única salida es escanear el código. DocuSign fue una de las marcas más suplantadas en la región durante el semestre, según ESET.
El segundo es casi una sola frase: «Escanee el QR para ver su nuevo salario». Apuesta por la curiosidad y por la falta de texto, que deja sin pistas a quien intenta detectar el engaño.
¿Cómo llega el quishing a Colombia?
En Colombia ya hay alertas por quishing físico: en Bogotá se reportaron falsos comparendos con QR dejados en los vehículos.
La Secretaría de Seguridad y el Gaula de la Policía advirtieron en junio de 2026 sobre volantes y adhesivos en carros parqueados. El papel simula una multa de tránsito y un QR para consultarla, pero al escanearlo la víctima llega a páginas falsas que piden datos personales y bancarios.
Las autoridades recuerdan que ningún organismo de tránsito impone comparendos con papeles informales pegados al vehículo.
Quien resulte afectado en Bogotá puede llamar al equipo AIDE de la Secretaría de Seguridad, al (601) 377 95 95, opción 5, extensión 1137.
ESET añade que uno de los casos más comunes es el adhesivo pegado encima de un QR legítimo. Si ese código abre una pantalla de pago, el engaño puede terminar en una operación con datos precargados, difícil de notar si no revisas el monto y el destinatario.
Para entender cómo se aprovechan los pagos digitales, revisa nuestra nota sobre las estafas con Bre-B en Colombia.
¿Cómo detectar un código QR sospechoso? Seis señales
ESET señala seis indicios: QR superpuesto, envío no solicitado, urgencia, URL que no coincide, petición de datos sensibles y exigencia de instalar una app.
- El código está pegado encima de otro o muestra señales de manipulación.
- Llegó sin que lo pidieras, por correo, mensaje o en un soporte físico inesperado.
- Viene con urgencia o presión de tiempo, o con advertencias alarmistas.
- La URL no coincide con el servicio esperado o tiene irregularidades.
- Pide datos sensibles, como contraseñas, códigos de verificación o información financiera.
- Exige instalar una aplicación para continuar.
Si vas a aprovechar las ofertas de fin de año, aplica estas señales a cualquier promoción con QR. Revisa también nuestra guía para evitar fraudes en compras online antes del Black Friday.
¿Cómo protegerte antes de escanear un código QR?
La regla de ESET es verificar el destino antes de abrirlo: revisa la URL que muestra el lector y entra por canales oficiales cuando se trate de pagos o trámites.
Estas son las prácticas que recomienda la compañía:
- Revisa la URL antes de continuar. Si tu lector de QR muestra la dirección de destino, confirma que sea la del sitio esperado.
- Prioriza los canales oficiales. Para facturas, envíos, beneficios o trámites, escribe tú mismo la dirección o usa la aplicación oficial.
- Revisa la información antes de confirmar una operación, sobre todo si implica pagos o ingresar credenciales.
- No instales aplicaciones desde códigos QR desconocidos. Descarga software solo de las tiendas oficiales.
- Verifica por un canal oficial ante cualquier duda.
- Mantén el celular actualizado y con una solución de seguridad confiable.
La Alcaldía de Bogotá suma una medida: activar la verificación en dos pasos en tus redes sociales y en tu correo.
¿Qué hacer si ya escaneaste un QR malicioso?
Si ya escaneaste un QR sospechoso, cierra la página sin ingresar datos, avisa a tu banco si hubo pagos o claves, cambia contraseñas y denuncia el caso.
Los pasos dependen de lo que hiciste después de escanear. ESET identifica tres riesgos: robo de credenciales, pagos fraudulentos e instalación de aplicaciones maliciosas.
- Cierra la página y no escribas nada más. Antes de cerrarla, toma una captura de pantalla; te servirá para la denuncia.
- Si ingresaste una contraseña, cámbiala desde la aplicación o el sitio oficial del servicio, no desde el enlace que abriste. Activa la verificación en dos pasos.
- Si hiciste un pago o diste datos bancarios, llama a tu banco y pide bloquear el producto afectado. Es lo que recomienda la Alcaldía de Bogotá en casos financieros.
- Si instalaste una aplicación, desinstálala y revisa que tu celular esté actualizado y protegido.
- Reporta el caso. Puedes hacerlo en el CAI Virtual de la Policía para incidentes cibernéticos o presentar una denuncia formal por delitos informáticos en A Denunciar, de la Policía y la Fiscalía.
Si además se usaron mal tus datos personales, también puedes reportarlo ante la Superintendencia de Industria y Comercio.
Para delitos en curso en Bogotá, la línea de emergencias es la 123.
Preguntas frecuentes sobre el quishing
¿Qué significa quishing?
Es la unión de «QR» y «phishing». Se trata de una técnica de ingeniería social en la que el atacante oculta una dirección maliciosa en un código QR en lugar de enviarla como enlace visible.
¿Escanear un código QR puede infectar mi celular?
El riesgo principal está en lo que haces después: entrar a una página falsa, dar datos o instalar una app fuera de las tiendas oficiales. ESET advierte que algunos códigos llevan a sitios preparados para distribuir software malicioso.
¿Cómo sé si un código QR es falso?
Desconfía si está pegado sobre otro, llegó sin que lo pidieras, trae urgencia, muestra una URL que no coincide, pide datos sensibles o te obliga a instalar una app. Con una sola de esas señales, no sigas.
¿Qué hago si encuentro un QR pegado sobre otro en un comercio?
No lo escanees y paga por otro medio. ESET incluye el adhesivo superpuesto entre los casos más comunes de quishing físico y entre las señales de alerta.
¿Dónde denuncio una estafa con QR en Colombia?
Puedes reportar en el CAI Virtual de la Policía o presentar una denuncia formal en A Denunciar. Si hubo pagos, avisa también a tu banco para bloquear el producto afectado.
¿Qué porcentaje del phishing usa códigos QR?
Cerca del 11% de los correos de phishing que detectó ESET en el primer semestre de 2026 usaba códigos QR, según el ESET Threat Report H1 2026.
¿Te ha llegado un QR sospechoso por correo, por mensaje o pegado en la calle? Cuéntanos qué viste en los comentarios y comparte esta guía con quien pague con QR a diario. Puedes leer el análisis completo de ESET en WeLiveSecurity.
También te puede interesar
- ¿Qué puede hacer un ciberdelincuente con tu número de teléfono? Los 4 riesgos que advierte ESET
- Estafas con deepfake en Colombia: denuncias por delitos informáticos y 4 señales para detectarlas
- ¿Qué hacer si te roban la cuenta de ChatGPT? Los 5 pasos en el orden correcto
- Cómo evitar fraudes en compras online en Colombia antes del Black Friday 2026
