Seguridad del Código QR: Cómo Evitar Estafas de Quishing en 2026

Actualizado en marzo de 2026 · 7 min de lectura

En 2024, los ataques de phishing mediante códigos QR — conocidos como "quishing" — aumentaron más de un 500% según las empresas de ciberseguridad que rastrean esta tendencia. A finales de 2025, el quishing se había convertido en uno de los vectores de ataque de más rápido crecimiento en el panorama del phishing. A medida que los códigos QR se vuelven omnipresentes en restaurantes, parquímetros, tarjetas de presentación y networking profesional, entender los riesgos ya no es opcional — es esencial.

¿Qué es el quishing?

El quishing es phishing mediante código QR. En lugar de incrustar un enlace malicioso en un correo electrónico o mensaje de texto, los atacantes codifican el enlace dentro de un código QR. Cuando escaneas el código con tu teléfono, abre la URL maliciosa en tu navegador — a menudo una página de inicio de sesión falsa pero convincente diseñada para robar tus credenciales.

La razón por la que el quishing funciona tan bien es que los códigos QR son opacos. A diferencia de un hipervínculo donde puedes pasar el cursor para previsualizar la URL, un código QR no revela nada sobre su destino hasta después de escanearlo. Esta opacidad es lo que hace que los códigos QR sean tanto útiles como peligrosos.

Cómo funcionan los ataques de quishing

1. Superposición física: Los atacantes colocan una etiqueta adhesiva con un código QR malicioso sobre uno legítimo — en un parquímetro, mesa de restaurante o póster público.
2. Incrustación en correos electrónicos: Se incluye un código QR en un correo de phishing, evadiendo los filtros de seguridad de correo basados en texto que escanean URLs pero no pueden leer códigos QR.
3. Tarjetas de presentación falsas: Una tarjeta de presentación falsificada con un código QR que lleva a una página de recolección de credenciales en lugar de un perfil de LinkedIn.
4. Explotación en eventos: En conferencias y ferias comerciales, los atacantes distribuyen folletos o credenciales con códigos QR que enlazan a descargas de malware.

La magnitud del problema

Las cifras son alarmantes. Según un informe de 2025 de SlashNext, los ataques de quishing aumentaron del 0.8% de todos los ataques de phishing en 2023 a más del 4.8% en 2025 — un aumento de 6×. Abnormal Security reportó que el 89% de los ataques de quishing tienen como objetivo el robo de credenciales, siendo las páginas de inicio de sesión de Microsoft 365 y Google Workspace las más comúnmente suplantadas.

El FBI emitió una advertencia pública en 2024 sobre fraude con códigos QR en parquímetros y gasolineras en todo Estados Unidos. En el Reino Unido, Action Fraud reportó un aumento del 300% en las quejas por estafas con códigos QR entre 2023 y 2025.

Cómo detectar un código QR falso

Aunque los códigos QR no se pueden "leer" visualmente, hay varias señales de alerta a las que prestar atención:

• Superposiciones adhesivas: Si un código QR parece ser una etiqueta adhesiva colocada sobre otra superficie — especialmente en un parquímetro, cajero automático o menú de restaurante — no lo escanees. Los códigos QR legítimos generalmente están impresos directamente en la superficie.
• Contexto inesperado: Un código QR en un correo electrónico no solicitado, mensaje de texto o folleto debe tratarse con sospecha. Las empresas legítimas rara vez te piden que escanees un código QR para "verificar tu cuenta" o "reclamar un premio."
• URL no coincidente: Después de escanear, verifica la URL antes de tocar. Si el código QR estaba en una tarjeta de presentación de LinkedIn pero la URL no contiene linkedin.com, no continúes.
• URLs acortadas: Ten cuidado con los códigos QR que resuelven a bit.ly, tinyurl u otros acortadores de URL. Estos ocultan el destino real. Los códigos QR profesionales legítimos enlazan directamente al destino.
• Mala calidad de impresión: Códigos QR borrosos, descentrados o de tamaño extraño en materiales que por lo demás son profesionales pueden indicar manipulación.

Cómo protegerte

1. Previsualiza antes de hacer clic

La mayoría de las cámaras de smartphones modernos muestran una vista previa de la URL cuando apuntas a un código QR. Lee la URL cuidadosamente antes de tocar. Busca errores ortográficos (como linkedln.com en lugar de linkedin.com), dominios inusuales o rutas sospechosas.

2. Usa un escáner QR con funciones de seguridad

Algunas apps de escáner QR verifican las URLs contra bases de datos de phishing conocidas antes de abrirlas. Apps como Kaspersky QR Scanner y Norton Snap (o las apps de cámara integradas en iOS 17+ y Android 14+) proporcionan vistas previas de URL y verificaciones básicas de seguridad.

3. Nunca ingreses credenciales después de escanear

Si un código QR te lleva a una página de inicio de sesión, detente. Abre el servicio directamente desde tu navegador o app en su lugar. Los códigos QR legítimos de LinkedIn te llevan a una página de perfil público — nunca te piden que inicies sesión.

4. Verifica los códigos QR físicos

Si estás en un negocio o establecimiento, pregunta al personal si el código QR es legítimo. En eventos, solo escanea códigos QR de materiales oficiales — no de folletos o materiales impresos aleatorios.

5. Mantén tu teléfono actualizado

iOS y Android parchean regularmente vulnerabilidades de seguridad que podrían ser explotadas a través de sitios web maliciosos. Mantener el sistema operativo y el navegador de tu teléfono actualizados es una defensa básica pero crítica.

Por qué los códigos QR de LinkedIn son más seguros

No todos los códigos QR conllevan el mismo riesgo. Los códigos QR de LinkedIn generados por herramientas como nuestro generador gratuito tienen varias ventajas de seguridad incorporadas:

• URL directa: El código QR apunta directamente a linkedin.com/in/tu-perfil — sin redirecciones, sin acortadores de URL, sin píxeles de rastreo.
• Destino reconocible: Cualquier persona que escanee el código ve una URL de linkedin.com en su vista previa, que es fácil de verificar.
• Sin recolección de datos: Los códigos QR estáticos (como los nuestros) no pasan por ningún servidor de terceros. La URL está codificada directamente en el patrón QR.
• Generación del lado del cliente: Tu URL de LinkedIn nunca sale de tu navegador durante la generación — no hay servidor que comprometer.
• Señal visual de confianza: Los códigos QR con el logo de LinkedIn incorporado (como los nuestros) proporcionan una pista visual inmediata sobre el destino.

Lista de verificación de seguridad de códigos QR

Conclusión

Los códigos QR no son inherentemente peligrosos — pero son inherentemente opacos. La misma conveniencia que los hace útiles para el networking también los hace atractivos para los atacantes. La defensa es simple: previsualiza antes de hacer clic, verifica la URL y nunca ingreses credenciales en una página a la que llegaste mediante un escaneo QR. Al crear tus propios códigos QR, usa herramientas que generen URLs directas y transparentes sin servidores intermediarios — como nuestro generador de códigos QR de LinkedIn.