Ese código QR en la caja del paquete podría vaciarle la cuenta

Un paquete llega a la puerta de la casa. La etiqueta trae impreso un código QR “para ver el detalle del envío” o “para confirmar la entrega”. Parece normal — cada vez más tiendas y paqueterías usan QR de verdad. El problema es que esa misma costumbre es, ahora mismo, una de las formas más efectivas que tienen los estafadores para robar datos bancarios, y está creciendo rápido.

Qué tan grande es el problema

Según cifras citadas en un comunicado de la industria de ciberseguridad, los casos de “quishing” (phishing hecho con códigos QR) subieron 146% durante el primer trimestre de 2026, con cerca de 18.7 millones de casos registrados solo en marzo. No es un caso aislado: se ha visto en parquímetros con stickers de QR falsos, en mensajes de texto haciéndose pasar por multas de tránsito, y en paquetes físicos que llegan a la puerta sin que el destinatario haya comprado nada.

La variante más efectiva —y la que investigadores de ciberseguridad reportaron apenas la semana pasada— no es un paquete al azar: es un mensaje o una página que ya trae datos reales de una compra que usted sí hizo —el nombre del producto, el número de orden, la fecha de entrega— para parecer legítimo. Eso hace que baje la guardia justo antes de pedirle que escanee un código o entre su número de tarjeta “para confirmar”.

Qué pasa si lo escanea

Un código QR no muestra a dónde lo va a llevar hasta que ya lo escaneó —a diferencia de un enlace de correo, donde al menos puede pasar el cursor encima y ver la dirección antes de hacer clic. Al escanearlo, lo normal es terminar en una página que imita a una paquetería o tienda conocida y que pide usuario, contraseña o datos de tarjeta; en los casos más graves, según ha alertado el FBI, la página pide instalar una “app de rastreo” que en realidad es un malware.

Qué puede hacer hoy, en menos de 10 minutos

• No escanee códigos QR en paquetes que no pidió, ni en mensajes de texto o WhatsApp no solicitados, aunque mencionen datos correctos de su compra.
• Para revisar un envío, entre directamente a la app o sitio oficial de la tienda o paquetería (escribiendo la dirección usted mismo), nunca desde el enlace o QR que vino en el mensaje.
• Si ya escaneó uno y le pidió datos personales o de tarjeta, no los ingrese; si ya los ingresó, cambie esa contraseña y avise a su banco de inmediato.
• Hable con los demás en casa —sobre todo con quienes compran en línea por su cuenta— sobre esta modalidad específica, no solo “cuidado con los enlaces” en general.
• Si recibió un paquete que no pidió con un QR en la etiqueta, no lo escanee: es más probable que sea el anzuelo que un error de envío.

¿Le ha llegado algún mensaje de “su paquete está en camino” que después resultó sospechoso? Cuéntenos en los comentarios.