Els codis QR han esdevingut una eina quotidiana per pagar, accedir a menús o connectar-se a serveis digitals. Però aquesta familiaritat també ha estat aprofitada pels ciberdelinqüents per donar un nou impuls al frau informà tic. L'empresa de seguretat ESET ha detectat un augment notable del quishing, una variant del phishing que utilitza aquests codis de punts per dirigir els usuaris a portals maliciosos sense que puguin llegir la URL de destinació.
Les xifres més recents parlen clar : l'informe ESET Threat Report H1 2026 assenyala que els codis QR maliciosos apareixen a l'11% de tots els correus de phishing, amb més de 100.000 deteccions mensuals de mitjana. Espanya, de fet, se situa com el segon paÃs del món en nombre d'atacs d'aquest tipus, només darrere dels Estats Units.
Què és el quishing i per què està en auge?
El quishing no deixa de ser una variant del phishing clà ssic, però amb un ingredient extra: l'enllaç nociu està ocult dins un codi QR. L'usuari escaneja la imatge i acaba en una web fraudulenta que li pot robar les claus bancà ries, les credencials d'accés o fins i tot instal·lar un programari maliciós al dispositiu.
Una de les raons del seu èxit és que la destinació de lenllaç no es veu a simple vista. En un correu sospitós podeu veure en el domini il·legÃtim; aquà tot està comprimit en un quadrat de pÃxels. A més, aquests codis s'integren en els missatges com a imatge adjunta o en un PDF, cosa que evadeix molts filtres de seguretat de correu electrònic. I el truc té més abast perquè treu la comunicació de lordinador de treball i la passa al telèfon mòbil, un dispositiu que moltes vegades no té els mateixos nivells de protecció.
L'enginyeria social també hi juga un paper important. Els criminals utilitzen la imatge de marques conegudes, com ara DocuSign o Microsoft, i aprofiten situacions d'urgència, per exemple, per avisar que el compte serà suspès si no s'autentica. El resultat és que el missatge arriba a la safata d'entrada, i l'empleat no troba cap indici habitual de pesca, perquè no hi ha text per llegir a l'enllaç.
El quishing a Espanya, una alerta que no frena
Espanya ha esdevingut un dels focus principals d'aquest tipus de frau. ESET estima que el 17% de les deteccions mundials de quishing es concentren al paÃs, de manera que confirma que la tècnica ha trobat un terreny útil. Un dels casos més representatius es va resoldre grà cies a la intervenció de l'Institut Nacional de Ciberseguretat (INCIBE). Una clienta d'un restaurant va escanejar el codi QR de la carta, que estava manipulat, i va acabar subscrita a un servei premium sense saber-ho.
L'OCU també ha posat el focus sobre els QR falsos que s'enganxen als cotxes per simular multes de la DGT. En escanejar el codi per pagar la sanció, la vÃctima lliura les dades de la targeta a un lloc web duplicat. Les estafes al carrer no es queden aquÃ: s'han vist adhesius amb QR fraudulents sobre els codis autèntics de parquÃmetres i bicicletes compartides. Els atacants tapen l'original amb un codi imprès que apunta al domini propi.
Els laboratoris d'ESET assenyalen que el mes d'abril del 2026 es va produir el pic de deteccions, tot i que la sèrie temporal ja va començar a mostrar una pujada constant. La seguretat mòbil i el correu electrònic de les empreses són el principal escut, però la relaxació a l'hà bit de l'usuari està fent la resta.
Les altres cares del frau amb QR
No és tot el frau massiu contra clients d'un restaurant. L'organització nord-americana IRS (servei tributari) també ha detectat campanyes en què s'entreguen cartes fÃsiques imitant notificacions fiscals, amb un QR que promet verificacions de comptes o documentació per als propietaris de criptomonedes. En escanejar el codi, la vÃctima acaba en una web que demana frases llavor o claus privades, és a dir, l'element que controla els fons digitals.
El cas dels estats també està darrere d'aquestes trampes . Un avÃs de l'FBI de gener de 2026 esmentava el grup Kimsuky, suposadament lligat a Corea del Nord, com a responsable d'atacs de ciberespionatge amb QR en què feien servir pretextos com documents governamentals o formularis per accedir a organitzacions de recerca. És a dir, la tècnica també s'ha colat a l'arsenal dels grups APT, amb l'objectiu de comprometre xarxes d'alt valor.
Com protegir-se davant del quishing
La principal barrera contra aquest frau és una cosa tan bà sica com aprendre a dubtar. L'INCIBE recomana aturar-se abans d'escanejar qualsevol codi QR enganxat en un lloc públic. Si l'adhesiu es veu aixecat, presenta algun to de manipulació o està directament sobre un altre codi, no s'hauria d'utilitzar. En el cas de correus electrònics, cal desconfiar de qualsevol missatge no sol·licitat que insti a escanejar un QR, sobretot si es tracta de comunicacions amb una pressió temporal excessiva.
També convé observar la URL a què porta el codi. Si el mòbil ofereix una vista prèvia de l'enllaç, cal revisar errades, dominis escurçats o variacions estranyes de webs coneguts. Desactivar lobertura automà tica denllaços en escanejar un QR és una altra capa de protecció útil, tant en sistemes iOS com Android. I mai no s'ha de facilitar informació de pagament, credencials ni secrets de cartera sense haver-se assegurat per un canal diferent que el que sol·licita és el legÃtim.
Per a les empreses, els experts d'ESET recomanen incloure el quishing als programes de conscienciació ia les simulacions de phishing. La tecnologia, a més, és un altre pilar: filtres de correu capaços d'extreure i analitzar els QR dels arxius, protecció dels dispositius mòbils corporatius i autenticació resistent al phishing per als comptes de més privilegi. Aplicar el principi de mÃnim privilegi i mantenir el programari actualitzat són passos addicionals que fan que un escaneig malintencionat no es converteixi en un compromÃs crÃtic de la xarxa.
La fama dels codis QR no és una novetat, però la dels atacs tampoc. El quishing s'ha consolidat com l'amenaça que mou les dades mitjançant una pantalla i un patró binari, i les mesures que funcionen per al phishing de text serveixen també aquà si s'apliquen amb sentit comú. Espanya ja és al punt de mira, i la diferència entre ser la vÃctima i que tot quedi en un ensurt depèn d'aquest petit costum de comprovar, abans d'escanejar, que el destà no sigui un engany.