México, epicentro del QRishing en Latinoamérica: cómo evitar que un código QR falso robe pagos y contraseñas en tu empresa

El 6 de octubre de 2026 se reportó que México es el epicentro del QRishing en Latinoamérica, según publicó Edomex Al Día. QRishing es phishing con códigos QR: en lugar de un enlace raro en un correo, te ponen un cuadrito que escaneas con el celular y te lleva a una página falsa.

En una empresa esto pega en dos lugares: en la caja, donde cobras, y en el correo, donde viven las contraseñas. Te contamos dónde aparecen, por qué se cuelan y qué hacer esta misma semana.

Dónde aparecen los QR falsos en una empresa

No hace falta hackear nada. A veces basta con una calcomanía y un minuto a solas frente al mostrador.

Dónde	Cómo se ve	Qué se llevan
QR de cobro en caja o sucursal	Calcomanía encima del QR real	El pago del cliente
Facturas y correos	“Escanea para reactivar tu Microsoft 365”	Usuario y contraseña
Estacionamientos	QR en un poste para “pagar la tarifa”	Datos de tarjeta
Menús y comedores	QR del menú cambiado por otro	Datos o una app maliciosa

El caso que más vemos en oficinas es el del correo. Llega un PDF que parece factura o aviso de sistemas, con un QR y la frase “tu cuenta vence hoy”. El de contabilidad lo escanea con su celular, escribe su contraseña y ya está: alguien más entra a su buzón.

Por qué el QR se salta tu antivirus y tu filtro de correo

El filtro de correo revisa enlaces. Un QR es una imagen, y muchos filtros no la leen como enlace.

Lo peor viene después: el QR se abre en el celular, no en la PC. El teléfono personal del empleado no tiene el antivirus de la empresa, no pasa por el firewall de la oficina y su pantalla chica esconde la dirección completa del sitio. En nuestra experiencia, es la ruta perfecta para salir de la zona protegida sin que nadie lo note.

Cobranza y pagos: la doble validación

La misma semana se habló de cómo el fraude frena los pagos digitales en las pymes. Y los clientes de bancos reclamaron 11,213 millones de pesos por fraude en el primer semestre de 2026, según Carta de México.

Para la caja y la cobranza, cuatro hábitos:

• Revisa los QR de cobro cada mañana. Pásales la uña: una calcomanía encima se siente.
• Si tu banco o terminal lo permite, usa QR generados por venta y no uno impreso fijo.
• Todo cambio de cuenta de un proveedor se confirma por teléfono, al número que ya tenías. Nunca al que viene en el correo.
• Pagos arriba de cierto monto: uno los captura y otro los autoriza.

Nuestra opinión: la doble validación es aburrida, y justo por eso funciona.

Checklist anti-QRishing para tu empresa

Dos términos rápidos. MFA es pedir un segundo factor además de la contraseña; el resistente al phishing usa passkeys o llave física, que no sirven en un sitio falso. El DNS es el servicio que traduce el nombre de un sitio a su dirección; si filtras ahí, la página falsa ni siquiera carga.

Medida	Qué resuelve	Dónde aplica
Capacitar al personal	Que nadie escriba contraseñas tras escanear un QR	Todos, empezando por administración
Revisar QR de cobro	Detecta calcomanías encima	Cajas, sucursales, recepción
MFA resistente al phishing	La contraseña robada ya no basta	Correo y banca en línea
Filtro DNS	Bloquea el sitio falso aunque el QR se abra	Wifi de la oficina y celulares de la empresa
Pagos con doble validación	Dos personas para mover dinero	Tesorería y cobranza

Si quieres el detalle de las passkeys, lo explicamos en cómo blindar el correo de Microsoft 365.

Si diriges una planta o sucursal de una empresa extranjera

Las políticas globales suelen cuidar la laptop y olvidar el celular local. Y en una planta hay QR por todos lados: comedor, estacionamiento, avisos de proveedores.

Aquí ayuda la gestión de celulares corporativos (MDM, una herramienta para administrar a distancia los teléfonos de la empresa): aplicas el filtro DNS, separas apps de trabajo y puedes borrar el equipo si se pierde. Si buscas un mínimo que quepa en el presupuesto, revisa la protección mínima para una pyme.

Hablemos

¿Y en tu empresa?

Si tienes caja, cobranza o personal que revisa el correo desde el celular, el QRishing ya te toca.

En ProcessBi tenemos pólizas de soporte TI con capacitación anti-phishing, protección de correo y DNS, y gestión de celulares corporativos. Empezamos con un diagnóstico sin costo.

Pide tu diagnóstico — respondemos el mismo día hábil.