Ataques de 'quishing' se multiplican en Chile: códigos QR falsos roban datos bancarios y claves

El código QR pasó de ser una rareza a una herramienta cotidiana para pagar estacionamientos, acceder a menús o validar entradas. Pero esa masificación silenciosa trajo un efecto secundario: los delincuentes también aprendieron a usarlo, y lo hacen con una eficacia creciente. El fenómeno se conoce como quishing —fusión de QR y phishing— y consiste en ocultar un enlace malicioso dentro de la imagen del código.

La víctima escanea, su teléfono abre una página que imita a un banco, una empresa de paquetería o un portal de gobierno, y allí entrega sus claves o datos de tarjeta. El mecanismo no es nuevo, pero el envoltorio cambió, y ese cambio lo vuelve más difícil de detectar.

Las cifras confirman el crecimiento. En 2021, los códigos QR aparecían en apenas el 0,8% de los ataques de phishing. Para 2025 ya representaban cerca del 12%, y solo durante el primer trimestre de 2026 los incidentes aumentaron un 146%. Es una de las técnicas de fraude de más rápida expansión a nivel mundial.

Detrás de ese éxito hay una razón técnica clave. Los filtros de correo electrónico están diseñados para analizar texto: leen palabras y direcciones URL escritas, y bloquean las sospechosas. Un código QR, al ser una imagen, pasa inadvertido para esas defensas. El enlace peligroso viaja escondido dentro del dibujo, sin que los sistemas tradicionales puedan interceptarlo.

Además, el ataque salta del computador corporativo —protegido por antivirus y filtros— al teléfono personal, que rara vez cuenta con esas barreras. Y suele ocurrir cuando la persona está distraída: en la fila del estacionamiento o revisando la carta del restaurante. Una investigación reciente reveló que cerca del 73% de las personas escanea un QR sin verificar hacia dónde las lleva. Un enlace escrito se puede leer antes de hacer clic; un código, en cambio, oculta su destino hasta que ya es tarde.

En Chile ya se han detectado casos concretos. Circularon falsas multas de tránsito con un QR impreso que dirigía a sitios que imitaban organismos oficiales. Y durante el CyberDay, especialistas alertaron sobre paquetes no solicitados que llegan a domicilio con un QR adherido, que lleva a páginas fraudulentas que piden datos bancarios o inducen a instalar aplicaciones maliciosas. Se estima que cuatro de cada diez chilenos ignora que un QR falso puede ser la puerta de entrada al robo de sus cuentas.

El daño para las personas puede ser devastador: cuentas vaciadas, identidad robada y meses de trámites. Para las empresas, una filtración puede superar el millón de dólares por incidente, entre robo directo, interrupción de operaciones y pérdida de confianza. Los ejecutivos, por su acceso privilegiado, son un blanco especialmente buscado.

Los especialistas recomiendan, antes de escanear, revisar la vista previa del enlace que ofrece la cámara del teléfono y desconfiar si pide claves o datos bancarios. Ante cualquier duda, la regla es simple: cerrar todo y escribir la dirección oficial directamente en el navegador. El código QR no es el enemigo, pero el desafío es cultural: aprendimos a escanear con los ojos cerrados y toca reaprender a hacerlo con los ojos abiertos.