Hace apenas unos años, un código QR era una curiosidad que casi nadie escaneaba. Hoy es un gesto cotidiano: lo usamos para leer el menú de un restaurante, pagar el estacionamiento, validar una entrada o abrir el enlace de una campaña
Esa masificación, silenciosa y veloz, trajo consigo un efecto secundario que la mayoría todavía no dimensiona: los delincuentes también aprendieron a usar el QR, y lo hacen con una eficacia inquietante.
El fenómeno tiene incluso nombre propio. Se lo conoce como quishing, una combinación de «QR» y phishing, y consiste en esconder un enlace malicioso dentro de la imagen del código. La víctima escanea, su teléfono abre una página que imita a un banco, una empresa de paquetería o un portal de gobierno, y allí entrega, sin saberlo, sus claves o los datos de su tarjeta. El objetivo es el mismo de siempre: robar credenciales o dinero, pero el envoltorio cambió, y ese cambio lo vuelve mucho más difícil de detectar.
Los números no dejan lugar a dudas sobre el crecimiento. En 2021, los códigos QR aparecían en apenas un 0,8% de los ataques de phishing. Para 2025 ya representaban cerca del 12%, y solo durante el primer trimestre de 2026 los incidentes reportados aumentaron alrededor de un 146%. No es una tendencia lenta ni marginal: es una de las técnicas de fraude que más rápido se expande en el mundo, y buena parte de su éxito se explica por una razón técnica que vale la pena entender.
Durante décadas, la seguridad del correo electrónico se construyó para leer texto, los filtros analizan las palabras del mensaje y las direcciones de los enlaces escritos, y bloquean los sospechosos antes de que lleguen a la bandeja de entrada. Pero un código QR no es texto, es una imagen. Para el filtro tradicional, ese cuadrado de puntos es apenas un dibujo, y el enlace peligroso viaja escondido dentro de él, invisible a las defensas que sí habrían frenado el mismo enlace escrito con letras. En otras palabras, el atacante no vulnera el candado, entra por una puerta que nadie estaba vigilando.
El problema no termina ahí. Al escanear, el ataque salta de nuestro computador de trabajo protegido por antivirus y filtros corporativos a nuestro teléfono personal, que rara vez tiene esas defensas, y suele ocurrir cuando estamos distraídos, apurados en la fila del estacionamiento o mirando la carta antes de pedir. A ello se suma un detalle humano decisivo: una investigación reciente encontró que cerca del 73% de las personas escanea un QR sin verificar hacia dónde las lleva. Un enlace escrito lo podemos leer antes de hacer clic; un código, en cambio, oculta su destino hasta que ya es tarde.
Y no se trata de un problema lejano. En Chile ya circularon falsas multas de tránsito con un código QR impreso, quien lo escaneaba era enviado a un sitio que imitaba al organismo oficial para robarle sus datos. Más recientemente, en torno al CyberDay, especialistas alertaron sobre paquetes no solicitados que llegan a domicilio con un QR adherido. Al escanearlo, la víctima termina en una página fraudulenta que le pide sus datos bancarios o la induce a instalar una aplicación maliciosa. El terreno es fértil; se estima que cuatro de cada diez chilenos no saben que un QR falso puede ser la puerta de entrada a un ataque contra sus cuentas. Y hay variantes aún más sofisticadas, como los códigos «dinámicos», que apuntan primero a una página inofensiva para pasar los filtros y, una vez entregado el mensaje, redirigen hacia el sitio malicioso. Es la misma ingeniería social de siempre, ejecutada con una prolijidad que engaña incluso a usuarios atentos.
Los daños no son abstractos. Para una persona significan cuentas vaciadas, identidades robadas y meses de trámites para recuperar lo perdido. Para las organizaciones el costo es mayor: se estima que una filtración de este tipo supera el millón de dólares por incidente, sumando el robo directo, la interrupción de operaciones y el golpe a la confianza de los clientes. Y los ejecutivos, por su acceso privilegiado, son un blanco especialmente buscado.
La buena noticia es que la defensa está, en gran medida, en nuestras manos. Antes de escanear, conviene mirar la vista previa del enlace que ofrece la cámara del teléfono y desconfiar si nos pide claves o datos bancarios. Ante cualquier duda, la regla es simple: cerrar todo y escribir la dirección oficial nosotros mismos en el navegador. Ninguna institución seria nos exige resolver un asunto urgente escaneando un cuadrado de puntos.
El código QR no es el enemigo, es una herramienta útil que llegó para quedarse. El desafío es cultural, aprendimos a escanear con los ojos cerrados, y toca reaprender a hacerlo con los ojos abiertos.
