Links y QR falsos: cómo protegerte del <em>phishing</em> financiero

Un solo clic en el link equivocado puede vaciar tu cuenta en minutos. La triste realidad es que con el crecimiento de los pagos digitales han aparecido nuevas oportunidades para los delincuentes. En ese contexto, la respuesta a la pregunta por cómo protegerse del phishing bancario se ha convertido en una prioridad para cualquier persona que maneje dinero a través de aplicaciones y banca en línea. Por eso, en este artículo te explico qué es el phishing y cómo ha evolucionado con los QR, cuáles son las señales de que un link o mensaje es falso, cómo verificar un código QR antes de escanearlo y qué hacer si ya diste clic o escaneaste un QR sospechoso.

Qué es el <em>phishing</em> y cómo ha evolucionado con los QR

Para empezar a hablar de cómo protegerse del phishing bancario diremos que el phishing es un método de engaño digital mediante el cual un tercero se hace pasar por una institución financiera legítima con el objetivo de obtener datos sensibles: nombres de usuario, contraseñas, NIP, CVV o códigos de un solo uso (OTP). Durante años este fraude se concentró en correos electrónicos, pero con el tiempo migró a los mensajes SMS y las llamadas telefónicas, mientras que hoy también ocurre por medio de códigos QR, modalidad conocida como quishing.

¿En qué consiste el quishing? Los delincuentes colocan stickers falsos sobre códigos legítimos en restaurantes, parquímetros o carteles publicitarios. También envían códigos QR a través de WhatsApp simulando notificaciones de bancos. Al escanearlo, el usuario es redirigido a una página clonada que solicita información bancaria o descarga software malicioso.

Según el Informe de amenazas de ESET correspondiente al primer semestre de 2026, México ocupa el tercer lugar mundial en detecciones de esta práctica, con el 6% del total global. Esta cifra confirma la importancia de la pregunta por cómo protegerse del phishing bancario y de la preponderancia del fraude con códigos QR falsos.

La diferencia esencial respecto de un enlace escrito reside en que el código QR no revela su destino hasta el momento del escaneo, por eso la prevención adquiere un carácter prioritario.

Señales de un link o mensaje falso de tu banco

Siguiendo con cómo protegerse del phishing bancario diremos que identificar a tiempo los links falsos de bancos resulta fundamental. A continuación, las señales de alarma (según la CONDUSEF y la Policía Cibernética):

• Mensajes que generan urgencia extrema, como avisos de bloqueo de cuenta en minutos o cargos no reconocidos que exigen respuesta inmediata.
• Errores ortográficos, de acentuación o de redacción, poco habituales en comunicaciones oficiales.
• Remitentes o dominios que no coinciden exactamente con los de la institución financiera (por ejemplo, variaciones con guiones o letras adicionales).
• Enlaces acortados o direcciones que no corresponden al sitio oficial.
• Solicitudes de NIP, CVV o códigos a través del propio mensaje.
• Instrucciones para abandonar la aplicación oficial e ingresar a un enlace externo.
• Ofertas de premios o beneficios.
• Llegada al sitio a través del mensaje recibido y no mediante la aplicación o la dirección escrita de forma manual.

Cuando aparece cualquiera de estas señales, la recomendación es interrumpir de inmediato la interacción y verificar la información a través de canales oficiales.

Cómo verificar un código QR antes de escanearlo

Continuando con cómo protegerse del phishing bancario es momento de decir que antes de apuntar la cámara hacia un código QR es necesario aplicar una secuencia de verificación.

Primero examino físicamente el código para detectar si existe un sticker o pegatina sobrepuesta. Esta táctica es frecuente en espacios públicos.

En segundo lugar utilizo la cámara nativa del teléfono, la cual muestra una vista previa de la dirección URL. Verifico que la dirección comience con https y que el dominio coincida de manera exacta con el sitio oficial de la institución o del comercio.

También evito escanear códigos recibidos por mensajes no solicitados o colocados en ubicaciones inesperadas y prefiero aplicaciones de lectura que ofrezcan funciones de previsualización de enlaces.

Si el código está destinado a un pago, privilegio siempre la aplicación oficial de la entidad financiera o el sistema de pago integrado en el dispositivo.

En todos los casos, cualquier solicitud de datos personales o bancarios después del escaneo debe considerarse una alerta definitiva.

Qué hacer si ya diste clic o escaneaste un QR sospechoso

Si ya escanee un QR sospechoso, ¿qué hago? ¿Cómo protegerse del phishing bancario llegados a este punto? Si interactuaste con un enlace o código sospechoso, la velocidad de respuesta suele ser fundamental en relación con el nivel de daño.

Si únicamente se abrió la página sin proporcionar datos, cierro el navegador, ejecuto un análisis de seguridad en el dispositivo y monitoreo los movimientos de la cuenta durante los días siguientes.

Si se capturaron usuario y contraseña, cambio las claves desde la aplicación oficial, cierro todas las sesiones activas y contacto a la institución financiera a través de los números impresos en la tarjeta o publicados en su sitio web.

Cuando se han compartido NIP, CVV o códigos de verificación, procedo al bloqueo inmediato de la tarjeta o cuenta a través de la aplicación, reporto el incidente y solicito la reposición.

En todos los casos informo a la Policía Cibernética y a la CONDUSEF.

Si se produjo un movimiento no autorizado, presento también la denuncia correspondiente ante el Ministerio Público (muy importante conservar capturas de pantalla como evidencia).

Buenas prácticas para navegar tus apps financieras con seguridad

La prevención cotidiana constituye la mejor defensa cuando hablamos de cómo protegerse del phishing bancario. Veamos algunas buenas prácticas:

• Nunca ingreso a la banca digital ni a aplicaciones financieras a través de enlaces recibidos por mensaje o correo.
• Escribo la dirección de forma manual o abro exclusivamente la aplicación oficial.
• Activo la autenticación de dos factores o el reconocimiento biométrico siempre que esté disponible.
• Mantengo actualizado el sistema operativo, las aplicaciones y el software de seguridad.
• Reviso con regularidad los movimientos de cuenta.
• Evito realizar operaciones financieras en redes Wi-Fi públicas.
• Antes de contratar cualquier producto verifico que la institución figure en el SIPRES de la CONDUSEF.

¿Cómo protegerse del phishing bancario, entonces? Está claro que no depende únicamente de la tecnología de las instituciones: depende en gran medida de los hábitos del usuario.

¿Te gustó este artículo? Somos Beloz, la app oficial, el único canal seguro.