Ilustración de un escaneo de un QR en un chiringuito.

Ilustración de un escaneo de un QR en un chiringuito. Omicrono | Gemini

Software

Cuidado al escanear la carta QR en el chiringuito: el 'quishing' bate récords y se convierte en una amenaza este verano

ESET advierte de que los ciberdelincuentes aprovechan el uso cotidiano de códigos QR en restaurantes, hoteles o espacios turísticos.

Más información: Cuidado con esta estafa con códigos QR que alerta la Guardia Civil: así roban tu dinero

C.F.
Publicada

Llegan las vacaciones, un periodo de descanso y de bajar la guardia. Los ciberdelincuentes lo saben y aprovechan todos los rincones para tratar de robar tus datos en páginas fraudulentas.

Consultar la carta de un restaurante, pagar un aparcamiento, alquilar una bicicleta, acceder a la red wifi de un hotel o descargar una entrada son acciones que cada vez realizamos con mayor frecuencia mediante códigos QR, y es justo aquí donde los ciberdelincuentes lo están aprovechando.

"Su rapidez y comodidad han convertido estos códigos en una herramienta habitual, especialmente durante los meses de verano, cuando aumentan los desplazamientos, las visitas a establecimientos y el uso de servicios turísticos", explica ESET, la compañía especializada en ciberseguridad.

Ilustración de un hombre usando un móvil en la cama de noche

Según el informe ESET Threat Report H1 2026, las campañas de quishing alcanzaron niveles récord durante la primera mitad del año, ocupando España una posición especialmente destacada en este tipo de fraude.

El país concentró el 17% de todas las detecciones mundiales de quishing registradas por ESET durante el periodo analizado, únicamente por detrás de Estados Unidos.

Y es que aproximadamente el 11% de todos los correos electrónicos de phishing detectados por ESET utilizaba ya códigos QR, con una media de alrededor de 100.000 detecciones mensuales.

¿Qué es el quishing?

Una campaña de quishing es tan fácil que cualquiera puede caer si no está alerta.

Puede comenzar con un correo aparentemente legítimo que suplanta a una empresa, una entidad bancaria, un proveedor tecnológico o incluso al departamento de recursos humanos de una organización. En lugar de incluir un enlace convencional, el mensaje pide al usuario que escanee un código QR para confirmar su identidad, revisar un documento, actualizar una contraseña o resolver una supuesta incidencia urgente.

Al escanearlo, la víctima es redirigida a una página fraudulenta diseñada para imitar un servicio legítimo y solicitar credenciales, datos personales o información bancaria.

Fotomontaje con el logo de Google.

"No obstante, este fraude ya no se limita al entorno digital. Los delincuentes también colocan códigos QR falsos en lugares físicos en los que los usuarios esperan encontrarlos, como parquímetros, bicicletas compartidas, mesas de restaurantes, carteles informativos o máquinas de pago", alerta la empresa de ciberseguridad.

En algunos casos, basta con pegar una etiqueta con un código malicioso sobre el original. "También se han detectado códigos fraudulentos en falsas multas de aparcamiento, avisos de peajes pendientes o comunicaciones que simulan proceder de servicios públicos", señalan. Por lo que el usuario únicamente escanea el código que cree bueno, con la intención de realizar un pago y termina introduciendo los datos de su tarjeta en una web controlada por los atacantes.

¿Cómo evitarlo?

Para no caer en este tipo de estafas, desde ESET aconsejan hasta 7 claves antes de usar un código QR en un lugar público.

En primer lugar, piensa antes de actuar. "Que un código se encuentre en un lugar aparentemente legítimo no significa necesariamente que sea seguro".

Después, si lo vas a escanear, revisa antes que el código —donde está puesto físicamente— no haya sido manipulado o cuente con indicios de haberlo sido.

Antes de abrir el enlace, comprueba la dirección. La mayoría de lectores QR de los móviles muestran una vista previa del enlace. "Es recomendable revisar el dominio, buscar errores ortográficos y desconfiar de direcciones acortadas".

Ilustración de un hacker usando IA en un atque informático

Ilustración de un hacker usando IA en un atque informático Cedida

Lo más importante: En cualquier caso, "no introduzcas datos sensibles inmediatamente. Si una página abierta mediante un QR solicita contraseñas, información bancaria o datos personales, es preferible cerrar el navegador y acceder al servicio escribiendo manualmente su dirección o utilizando su aplicación oficial".

Al hilo de esto, ESET recomienda siempre usar los canales oficiales para realizar pagos. Ante una supuesta multa o cobrar una cuenta, hazlo por otra vía.

Desconfiar siempre es una herramienta de seguridad. Si te llega un QR por correo electrónico, ten la misma cautela que si ha sido una pegatina en un lugar físico.

Por último, protege también tu teléfono. "Mantén el sistema operativo y las aplicaciones actualizados, utiliza una solución de seguridad y activa la autenticación multifactor".