El quishing es una modalidad de estafa digital que combina un código QR manipulado con una página falsa para robar credenciales bancarias, datos de tarjetas o desviar transferencias.
Para protegerse es clave no escanear códigos con stickers superpuestos, verificar siempre el destinatario antes de confirmar un pago y nunca ingresar contraseñas ni códigos de verificación en páginas abiertas desde un QR desconocido.
La amenaza crece al ritmo de la adopción. Argentina ya superó los 103,7 millones de operaciones mensuales con QR interoperable en junio de 2026, un salto del 63,7% interanual según el Banco Central.
En la actualidad, el 98,8% de los pagos con transferencia se inicia escaneando un código. A nivel global, Microsoft Threat Intelligence detectó 18,7 millones de ataques de quishing solo en marzo de 2026, un incremento del 146% respecto a enero, lo que convierte a este vector en el de mayor crecimiento del primer trimestre.
El problema tiene número local: el Ministerio Público Fiscal porteño recibió casi 1.300 denuncias por ciberfraudes en el primer semestre de 2026, más de 200 por mes.
Y según un estudio de Kaspersky, el 76% de los usuarios argentinos admitió haber sido víctima de al menos una estafa digital durante 2025.
La estafa con código QR falso se apoya en una limitación técnica: a diferencia de un enlace escrito, el destino del QR no puede leerse antes del escaneo.
La cámara interpreta la matriz de puntos y recién entonces muestra adónde conduce.
Los delincuentes explotan esa opacidad con variantes cada vez más sofisticadas:
Escanear un código falso no suele bastar para comprometer el teléfono. La mayoría de estas maniobras necesitan una acción adicional: escribir una contraseña, autorizar una transferencia o descargar una aplicación. Se trata, ante todo, de ingeniería social.
El volumen de operaciones digitales amplía la superficie de ataque. Según datos de COELSA relevados por iProUP, la Central de Prevención de Fraude acumuló 348.268 registros en 2025, con 20.720 casos confirmados aportados por 69 entidades. En total, 117 bancos y billeteras comparten esa base para detectar maniobras en tiempo real con inteligencia artificial.
Atilio Velaz, CEO de COELSA, explicó a iProUP: "Los delincuentes no distinguen entre bancos, billeteras u otros proveedores de servicios de pago, buscan aprovechar cualquier vulnerabilidad disponible. La competencia puede convivir con la colaboración".
El contexto refuerza la urgencia: durante 2025 se procesaron más de 6.000 millones de transferencias inmediatas y más de 700 millones de pagos con QR en Argentina.
Los pagos QR se duplicaron interanualmente, al pasar de 350 millones a 714 millones de operaciones.
Para protegerse antes de confirmar un pago con QR, los expertos recomiendan seguir estos pasos:
Si ya se escaneó un QR sospechoso y se compartieron datos o se autorizó una transferencia, hay que actuar rápido: contactar al banco o billetera para bloquear accesos, tarjetas y dispositivos vinculados, y conservar capturas de pantalla, comprobantes y la URL abierta por el código.
En la Ciudad de Buenos Aires existe un protocolo de actuación rápida que permite solicitar el congelamiento de cuentas sospechosas por 60 días.
Para activarlo, la denuncia debe presentarse dentro de las 24 horas, el monto defraudado debe ser igual o superior a $3 millones y el hecho debe corresponder a jurisdicción porteña. Según el MPF, este mecanismo permitió recuperar más de $322 millones.
La denuncia puede realizarse ante la Unidad Fiscal Especializada en Ciberdelincuencia, el MPF de la Ciudad a través de la línea gratuita 0800-33-FISCAL o la comisaría más cercana.