Estafas con códigos QR: qué dice la investigación

En resumen

• Imprime códigos que abran una dirección que tus clientes reconozcan, a ser posible tu propio sitio web.
• Imprime los códigos sobre la superficie, no en pegatinas, y revisa los códigos públicos por si tienen una pegatina encima.
• Antes de abrir un código escaneado, lee la dirección que muestra la cámara.

Los correos con código QR engañaron tan a menudo como los enlaces

El phishing son mensajes falsos que llevan a la gente a un sitio web falso. El phishing con códigos QR, o quishing, hace lo mismo con un código QR en lugar de un enlace.

En 2025, un equipo de la Universidad de Liechtenstein dirigido por Marie Weinz puso a prueba el phishing en organizaciones reales, desde pequeñas empresas hasta una multinacional. Enviaron más de 71.000 correos de prueba. Algunos llevaban un enlace normal y otros un código QR.

Los correos con código QR llevaron a la gente a la página falsa casi tan a menudo como los correos con enlace. Los autores señalan que a los filtros de correo también les cuesta más detectar los correos con QR, porque la dirección va dentro de una imagen. El artículo se presentó en la conferencia de seguridad AsiaCCS 2025.

Dos estudios anteriores apuntan en la misma dirección. En 2022, Sharevski y sus colegas pidieron a 173 personas que escanearan un código QR falso de un certificado COVID-19. El 67% estuvo dispuesto a registrarse con su cuenta de Google o Facebook, y la comodidad fue el motivo que más dieron. En 2024, Geisler, Pöhn y Hommel colocaron carteles falsos de una encuesta en un campus de investigación alemán. Un cartel más profesional que además ofrecía un premio se escaneó casi tres veces más que uno sencillo.

Si imprimes códigos QR

La gente puede comprobar una dirección que reconoce. Tu propio sitio web es el más fácil de reconocer.

• Muestra tu propia dirección cuando puedas. Un código estático abre tu dirección web directamente. Con QR Lasts Pro, los códigos dinámicos también pueden usar tu propio dominio.
• Imprime sobre la superficie. Un código impreso en un cartel es más difícil de tapar que una pegatina.
• Revisa los códigos en lugares públicos. En mesas, carteles y puertas, mira de vez en cuando si hay una pegatina sobre tu código.
• Di adónde lleva el código. Una línea bajo el código como «Abre tutienda.com/menu» permite comprobarlo antes de abrirlo.

Cómo revisar un código antes de abrirlo

1. Lee primero la dirección. La mayoría de las aplicaciones de cámara la muestran antes de abrirla.
2. Encuentra el nombre del sitio. Lee la dirección hasta la primera barra simple (/) y mira las dos últimas partes. En parking-city.example.com.pay-now.ru/pay, el sitio es pay-now.ru. En direcciones que terminan en .co.uk y similares, mira las tres últimas partes.
3. Ten cuidado con los códigos que piden iniciar sesión o pagar. Los servicios de aparcamiento, los bancos y las empresas de mensajería suelen permitir pagar en su propia aplicación o sitio web, que puedes abrir tú mismo.
4. Palpa por si hay pegatinas en parquímetros y carteles antes de escanear.
5. No escanees códigos de correos que no esperabas. Ve directamente al servicio.

Cómo ayuda QR Lasts

Los códigos estáticos abren tu propia dirección, sin nada en medio. Todos los códigos creados aquí, gratis o de pago, siguen redirigiendo. El único motivo por el que detenemos un código es el abuso, como un destino que Google Web Risk señala como phishing o malware.

Fuentes

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Si hemos interpretado mal un estudio, avísanos y lo corregiremos.