Fraudes con código QR en restaurantes: qué tan seguro es escanear el menú

Un comensal se sienta, ve el código en la mesa y lo escanea sin pensarlo. Ese reflejo, que tomó años construir, hoy es casi automático. Y es exactamente de lo que vive un tipo de fraude que ya tiene nombre: el quishing, o phishing con códigos QR.

La buena noticia, que casi ninguna nota menciona, es que el riesgo depende muchísimo de para qué sirve el código. Un código falso sobre una pantalla de pago es peligroso. Un código falso sobre un menú es, sobre todo, una molestia. Entender la diferencia ayuda a decidir qué poner en tus mesas.

Qué está pasando

En enero de 2026, la Secretaría de la Defensa Nacional y la Guardia Nacional emitieron alertas preventivas sobre fraudes con códigos QR en restaurantes de México. El método es sencillo: alteran el código impreso en el menú o pegan una calcomanía falsa encima del original. Al escanearlo, el comensal llega a una página que imita una legítima y que intenta robar contraseñas, correos o datos bancarios; algunos enlaces incluso intentan instalar programas maliciosos, según reportó Mundo Ejecutivo.

No es un problema aislado. El phishing en general es el ataque más frecuente contra las organizaciones de la región: afectó al 73% de las empresas encuestadas en el ESET Security Report Latinoamérica 2026, basado en 1,563 profesionales de 962 organizaciones de diez países, según WeLiveSecurity. El código QR es solo una puerta más.

Por qué funciona

Con un correo sospechoso, puedes revisar el remitente o pasar el cursor sobre el enlace. Un código QR esconde su destino en un dibujo que el ojo no puede leer. No hay remitente del cual dudar, no ves la dirección hasta que escaneas, y todo pasa en cuatro segundos en el celular.

Los estafadores no inventaron una tecnología. Encontraron un hábito.

El costo que nadie calcula: la confianza

Para un restaurante, el riesgo más grande no siempre es el fraude en sí. Es lo que pasa después. Cuando los comensales empiezan a preguntarse si el código de tu mesa es realmente tuyo, algunos dejan de escanear cualquier cosa. Y un salón lleno de gente que decidió que escanear es mala idea es un problema para cualquier negocio que usa un menú digital.

La diferencia que realmente importa

Un código QR es solo una dirección web codificada. No puede robar nada por sí mismo. Todo depende de lo que hay del otro lado, y en concreto de si un estafador puede construir una copia creíble.

• Un código ligado a pedidos y pagos es un objetivo valioso. El comensal ya espera escribir los datos de su tarjeta, así que una página de pago falsa pasa sin levantar sospechas.
• Un código ligado a un menú solo para consultar le da muy poco al estafador. No hay campo de tarjeta que imitar ni contraseña que robar. Un enlace cambiado muestra la página equivocada o publicidad: es molesto, a veces un intento de instalar algo, pero no es lo que vacía una cuenta.

No puedes impedir que alguien pegue una calcomanía en una mesa. Pero sí puedes decidir qué tan valiosa es esa calcomanía para él. Las propias autoridades lo resumen en una frase: ningún restaurante legítimo debería pedir contraseñas, números de tarjeta o datos bancarios a través de un menú QR.

Con esa lógica funciona MenuOnGo, que es un menú para mostrar por decisión propia: sin pedidos, sin pagos, sin nada que escribir después de escanear. El cobro sigue en tu punto de venta, donde están los controles de seguridad que corresponden. Además, cada menú vive en una dirección reconocible de menuongo.com con el nombre de tu restaurante, así que un comensal cuya cámara muestra el enlace antes de abrirlo puede ver de un vistazo que es el correcto. Y si necesitas un código nuevo, el generador de QR gratuito del sitio te lo hace en segundos.

Qué puede hacer tu restaurante

• Revisa los códigos de las mesas cada semana. Busca bordes levantados o una calcomanía que sobresale.
• Usa portamenús o tarjetas impresas difíciles de alterar, en lugar de calcomanías sueltas fáciles de tapar.
• Evita generadores de QR que caducan. Algunos apagan el destino cuando termina la prueba gratuita, y un código impreso en 40 mesas puede empezar a apuntar a la nada, o a algo que otra persona controla.
• Prepara a tu equipo. Si un comensal pregunta “¿esto está bien?”, merece una respuesta segura.
• Ten algunos menús impresos. Le quitan la presión a quien prefiere no escanear ese día.

Si vas a imprimir códigos nuevos, nuestra guía para imprimir el código QR de tu menú explica tamaños y materiales.

Qué puede hacer el comensal

• Mira la dirección antes de abrirla. La mayoría de las cámaras la muestran primero. Revisa que empiece con https y que el nombre tenga sentido.
• Nunca escribas datos de tarjeta ni contraseñas en una página a la que llegaste desde el código de una mesa. Paga con el mesero o con un sistema que ya conoces.
• Mira el código. Una calcomanía encima de otra es la señal más clara.
• Si algo se ve raro, pide un menú impreso y avisa al personal. En México, puedes reportarlo al 088.

Riesgo según lo que hace el código

Para qué sirve el código	Qué puede obtener un estafador	Riesgo relativo
Menú solo para consultar	Poco de valor; no hay tarjeta ni contraseña	Bajo
Acceso al wifi	Menor; como mucho, acceso a la red	Bajo
Pedidos sin pago	Datos del pedido y algunos datos personales	Medio
Pedidos con pago	Datos completos de la tarjeta	Alto
Pago de estacionamiento, recibos o facturas	Datos completos de la tarjeta	Alto
Cualquier cosa que pida acceso a tu banca en línea	Robo de identidad y de dinero	Muy alto

Preguntas frecuentes

¿Qué es el quishing? Es phishing con códigos QR: un fraude que esconde un enlace malicioso dentro de un código, muchas veces pegando una calcomanía falsa sobre uno real, para llevar a las personas a una página que roba datos personales o bancarios.

¿Es peligroso escanear el menú QR de un restaurante? Un código que lleva solo a un menú para consultar tiene un riesgo relativamente bajo, porque no hay página de pago ni contraseña que imitar. Los códigos de mayor riesgo son los ligados a pagos.

¿Cómo sé si un código QR fue alterado? Busca una calcomanía pegada sobre otra superficie, bordes levantados o un código que se ve más nuevo que todo lo demás. Antes de abrir el enlace, revisa la dirección que muestra la cámara.

¿Qué hago si encuentro un código QR falso en mi restaurante? Retíralo, revisa todas las mesas, ventanas y letreros, avisa a tu equipo y repórtalo a las autoridades; en México, al 088. Avisar a tus clientes con claridad suele dañar menos tu reputación que guardar silencio.

---

Fuentes: Secretaría de la Defensa Nacional y Guardia Nacional (alertas de enero de 2026, vía Mundo Ejecutivo), ESET (Security Report Latinoamérica 2026, vía WeLiveSecurity). Imágenes: Pexels (uso libre). Datos actualizados a octubre de 2026.