Estafas con códigos QR: qué dice la investigación

En resumen

• Imprime códigos que abran una dirección que tus clientes reconozcan, de preferencia tu propio sitio web.
• Imprime los códigos sobre la superficie, no en calcomanías, y revisa los códigos públicos por si tienen una calcomanía encima.
• Antes de abrir un código escaneado, lee la dirección que muestra la cámara.

Los correos con código QR engañaron tan seguido como los enlaces

El phishing son mensajes falsos que llevan a la gente a un sitio web falso. El phishing con códigos QR, o quishing, hace lo mismo con un código QR en lugar de un enlace.

En 2025, un equipo de la Universidad de Liechtenstein dirigido por Marie Weinz puso a prueba el phishing en organizaciones reales, desde pequeñas empresas hasta una multinacional. Enviaron más de 71,000 correos de prueba. Algunos llevaban un enlace normal y otros un código QR.

Los correos con código QR llevaron a la gente a la página falsa casi tan seguido como los correos con enlace. Los autores señalan que a los filtros de correo también les cuesta más detectar los correos con QR, porque la dirección va dentro de una imagen. El artículo se presentó en la conferencia de seguridad AsiaCCS 2025.

Dos estudios anteriores apuntan en la misma dirección. En 2022, Sharevski y sus colegas pidieron a 173 personas que escanearan un código QR falso de un certificado COVID-19. El 67% estuvo dispuesto a registrarse con su cuenta de Google o Facebook, y la comodidad fue el motivo que más dieron. En 2024, Geisler, Pöhn y Hommel colocaron carteles falsos de una encuesta en un campus de investigación alemán. Un cartel más profesional que además ofrecía un premio se escaneó casi tres veces más que uno sencillo.

Si imprimes códigos QR

La gente puede verificar una dirección que reconoce. Tu propio sitio web es el más fácil de reconocer.

• Muestra tu propia dirección cuando puedas. Un código estático abre tu dirección web directamente. Con QR Lasts Pro, los códigos dinámicos también pueden usar tu propio dominio.
• Imprime sobre la superficie. Un código impreso en un letrero es más difícil de tapar que una calcomanía.
• Revisa los códigos en lugares públicos. En mesas, carteles y puertas, revisa de vez en cuando si hay una calcomanía sobre tu código.
• Di a dónde lleva el código. Una línea bajo el código como "Abre tutienda.com/menu" permite verificarlo antes de abrirlo.

Cómo revisar un código antes de abrirlo

1. Lee primero la dirección. La mayoría de las aplicaciones de cámara la muestran antes de abrirla.
2. Encuentra el nombre del sitio. Lee la dirección hasta la primera diagonal simple (/) y mira las dos últimas partes. En parking-city.example.com.pay-now.ru/pay, el sitio es pay-now.ru. En direcciones que terminan en .com.mx, .co.uk y similares, mira las tres últimas partes.
3. Ten cuidado con los códigos que piden iniciar sesión o pagar. Los servicios de estacionamiento, los bancos y las empresas de paquetería suelen permitir pagar en su propia aplicación o sitio web, que puedes abrir tú mismo.
4. Toca con el dedo para detectar calcomanías en parquímetros y carteles antes de escanear.
5. No escanees códigos de correos que no esperabas. Ve directamente al servicio.

Cómo ayuda QR Lasts

Los códigos estáticos abren tu propia dirección, sin nada en medio. Todos los códigos creados aquí, gratis o de pago, siguen redirigiendo. El único motivo por el que detenemos un código es el abuso, como un destino que Google Web Risk señala como phishing o malware.

Fuentes

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Si interpretamos mal un estudio, avísanos y lo corregiremos.