Estafas con código QR suben un 146% en el mundo: Microsoft alerta pérdidas de dinero y datos

Microsoft alertó que las estafas mediante códigos QR y phishing crecieron 146% en un período de tres meses, una expansión que coincide con la incorporación de estos códigos a menús de restaurantes, pagos de estacionamiento, comercios y servicios turísticos.

La modalidad permite ocultar la dirección de destino y llevar a las víctimas a páginas que suplantan plataformas bancarias, corporativas o de autenticación para capturar datos financieros, dinero o contraseñas.

Solo en marzo, la compañía fundada por Bill Gates detectó 18,7 millones de ataques de este tipo, frente a los 7,6 millones registrados en enero del mismo año. Durante ese mismo período identificó unos 8.300 millones de amenazas de phishing, una modalidad de fraude que busca engañar al usuario para que entregue información sensible, distribuidas por correo.

Los códigos QR se convirtieron en uno de los mecanismos de engaño de mayor crecimiento porque la persona no puede ver a simple vista la dirección web que se abrirá antes de escanearla. Esa práctica, conocida como quishing, consiste en utilizar códigos QR para dirigir a la víctima hacia una página fraudulenta.

Por qué es peligroso escanear un código QR fraudulento

El riesgo aumenta cuando el escaneo se realiza desde un teléfono, porque la interacción puede quedar fuera de los controles de seguridad presentes en una computadora corporativa. Los atacantes aprovechan ese cambio de dispositivo para desplazar el fraude a un espacio con menor supervisión.

Andrés Cartes Guilarte, consultor de Cultura de Ciberseguridad de Áudea, la unidad de ciberseguridad de Logicalis Spain, explicó que la simplicidad de los QR es una de las condiciones que favorecen el engaño. A diferencia de un enlace convencional, el código no revela su destino hasta que el usuario lo escanea.

Los sitios creados para estas estafas pueden reproducir la apariencia de servicios empresariales, bancos o páginas de inicio de sesión. El objetivo varía según el fraude, pero suele ser obtener contraseñas, información personal o datos financieros.

La distribución no se limita a mensajes con enlaces tradicionales. El Email Threats Report 2026 de Barracuda indicó que el 70% de los archivos PDF maliciosos analizados contenía códigos QR que redirigían a páginas de phishing.

El mismo estudio señaló que el 56% de los documentos maliciosos de Microsoft 365 incluía quishing. Los códigos insertados directamente en el cuerpo de los correos aumentaron 336% en marzo de 2026.

De qué forma pueden ser manipulados los códigos QR

Los QR colocados en espacios físicos pueden ser manipulados o utilizados para instalar trampas digitales. Restaurantes, comercios, transporte, estacionamientos y servicios turísticos son algunos de los lugares donde estos códigos se integraron a la experiencia habitual de los clientes.

Un caso registrado en agosto de 2026 por el Instituto Nacional de Ciberseguridad (INCIBE) mostró el alcance de esa modalidad: una usuaria escaneó un código para consultar el menú de un restaurante, accedió al enlace y aceptó una ventana emergente. Entonces se activó una suscripción premium que no había solicitado; otros clientes del mismo establecimiento atravesaron situaciones similares.

La expansión del uso cotidiano de esta tecnología amplía las oportunidades para ese tipo de engaño. Datos recopilados por QR TIGER indican que cerca del 75% de los restaurantes del mundo ya emplea códigos QR para facilitar el acceso a menús digitales, mientras que su utilización en marketing y publicidad creció 323% entre 2021 y 2023.

Cómo evitar ser víctima de estafas con códigos QR

Cartes advirtió que las pautas tradicionales contra el phishing ya no alcanzan cuando el enlace queda oculto: “Ya no basta con enseñar al usuario a no hacer clic en un enlace sospechoso. El phishing está evolucionando hacia formatos que eliminan precisamente ese enlace de nuestra vista”.

Según Nubank, la clave para prevenir riesgos es dedicar 30 segundos a revisar antes de escanear, sobre todo si se va a pagar en tiendas y comercios o ingresar datos personales.

Entre las pautas a seguir está buscar stickers torcidos, superpuestos, bordes levantados, colores diferentes o que parezcan pegados recientemente, sumado a usar la vista previa de la cámara o app de escaneo QR.