Quishing

El quishing es una forma de phishing que utiliza códigos QR para llevar a las personas a páginas falsas o a otros destinos maliciosos. El nombre combina «QR» y «phishing», por eso también se conoce como qrishing.

Escanear un código no significa, por sí solo, que te hayan robado datos o instalado malware. El riesgo depende de lo que ocurra después: por ejemplo, abrir un enlace sospechoso, descargar un archivo o introducir información personal en una página falsa.

¿Qué es el quishing y cómo protegerte?

En un ataque de quishing, alguien distribuye un código QR que parece legítimo, pero que conduce a una web fraudulenta o a otro destino no deseado. La página puede imitar la de una empresa, un servicio de pago o una entidad conocida para conseguir contraseñas o datos bancarios.

El término combina QR y phishing, una técnica de engaño para obtener información. Si quieres conocer otras modalidades, puedes leer qué es el phishing y cómo funciona el smishing.

¿Cómo funciona un ataque de quishing?

1. Se crea o modifica un código QR para que dirija a una web o recurso controlado por un atacante.
2. El código se distribuye en un correo, un mensaje, un cartel o una pegatina.
3. La persona lo escanea con la cámara u otra aplicación.
4. El dispositivo muestra un enlace o abre un destino, según la configuración utilizada.
5. La página puede intentar engañar al usuario para que introduzca datos, inicie sesión o descargue algo.

Antes de abrir el enlace, revisa la dirección que aparece en pantalla. Para saber cómo escanear un código de forma segura, consulta nuestra guía para leer códigos QR desde el móvil sin instalar ninguna aplicación.

Tipos de quishing

El quishing puede llevarse a cabo de distintas formas, pero todas buscan el mismo objetivo: engañarte para que accedas a un enlace fraudulento o compartas información personal.

QR pegado sobre uno legítimo

Una pegatina puede cubrir el código original de un parquímetro, un restaurante, un cargador u otro servicio. Si el aspecto del código o el soporte parece manipulado, evita escanearlo y busca una alternativa oficial para acceder al servicio.

QR en correos electrónicos y documentos

Un mensaje puede incluir un código que suplanta una solicitud de pago, una notificación o una actualización de cuenta. Desconfía especialmente si el correo es inesperado, presiona para actuar rápido o pide información sensible.

QR en cartas, paquetes, multas o carteles falsos

Un código puede aparecer en un documento o cartel que imite una comunicación oficial. Comprueba quién lo envía y accede a la web de la entidad escribiendo su dirección conocida en el navegador, en lugar de seguir el QR.

QRLJacking

El QRLJacking es un tipo de engaño que puede aprovechar los códigos QR empleados para iniciar sesión o vincular una cuenta. Antes de escanear un QR de inicio de sesión, confirma que aparece en la página o aplicación oficial y que eres tú quien ha solicitado vincular el dispositivo. No apruebes una sesión que no reconozcas.

Ejemplos de quishing en España

El quishing puede presentarse en situaciones cotidianas: un QR añadido a una máquina de aparcamiento, una pegatina que sustituye el código de un menú o un correo que pide escanear un código para consultar una supuesta factura.

Estos ejemplos describen posibles formas de engaño. No significan que todos los códigos QR de esos servicios sean fraudulentos. La clave es comprobar el origen y el destino antes de facilitar información.

¿Por qué es tan peligroso el quishing?

Un código QR no siempre permite ver de inmediato la dirección completa a la que conduce. Además, un código colocado en un lugar público puede parecer fiable por estar asociado a un servicio conocido.

El riesgo no está en el acto de escanear como tal, sino en las acciones posteriores. Una página falsa podría solicitar credenciales o datos de pago. Otros destinos podrían proponer una descarga o una acción insegura. Si recibes mensajes sospechosos, también puedes consultar qué es el spam y cómo reconocer el spoofing.

Cómo protegerte del quishing

• Comprueba el soporte físico. Desconfía de códigos pegados encima de otros, dañados o colocados de forma sospechosa.
• Revisa la dirección antes de abrirla. Fíjate en el dominio y busca errores, palabras añadidas o nombres que imiten a una empresa conocida.
• No introduzcas credenciales si tienes dudas. Si una página solicita contraseñas o datos bancarios de forma inesperada, ciérrala.
• Accede por una vía oficial. Escribe la dirección de la entidad en el navegador o utiliza su aplicación oficial.
• No descargues archivos inesperados. Un QR no debería ser motivo suficiente para instalar una aplicación o abrir un archivo desconocido.
• Desconfía de la urgencia. Las amenazas de bloqueo o las solicitudes de pago inmediato pueden ser señales de engaño.
• Mantén el dispositivo actualizado. Un antivirus puede ayudar a detectar algunos riesgos, pero no sustituye la comprobación del enlace.

¿Qué hacer si has escaneado un QR fraudulento?

Escanearlo no implica necesariamente que haya pasado algo. Actúa según lo que hayas hecho después:

1. Si solo lo escaneaste: cierra la página si el destino te parece extraño y no introduzcas datos ni descargues nada.
2. Si abriste el enlace: revisa la dirección y sal de la página si no parece legítima.
3. Si compartiste una contraseña: cámbiala desde la web o aplicación oficial y revisa si la utilizabas en otros servicios.
4. Si facilitaste datos bancarios: contacta cuanto antes con tu banco usando un canal oficial y sigue sus indicaciones.
5. Si descargaste un archivo o instalaste algo: no lo abras de nuevo, elimina lo que puedas y realiza una revisión de seguridad del dispositivo.

Si necesitas reforzar tus cuentas, consulta cómo funciona la autenticación. En función de lo sucedido, también puede ser útil revisar información sobre ransomware, dark web o el uso de una VPN.

Diferencias entre quishing, phishing, smishing y vishing

• Phishing: engaño que suele llegar por correo electrónico o mediante una web falsa.
• Smishing: intento de fraude que se difunde por SMS o mensajes de texto.
• Vishing: engaño que se realiza mediante una llamada de voz.
• Quishing: utiliza un código QR para conducir a un enlace u otro destino malicioso.

En todos los casos, el objetivo puede ser conseguir información o inducir a una acción. Si necesitas consultar tus servicios móviles, hazlo desde canales oficiales o revisa las tarifas móviles.