Novedades de los códigos QR en 2026: 8 cambios que deben conocer los pequeños negocios

Las novedades de los códigos QR en 2026 van en dos direcciones. El FBI, la FTC, autoridades municipales, Meta y Microsoft publicaron avisos y recuentos de ataques con códigos maliciosos, mientras organismos de normalización y una agencia tributaria seguían incorporando códigos QR a códigos de barras, normas y facturas. A continuación, ocho hechos con fecha; cuando una fuente lo respalda, cada uno termina con lo que significa para un pequeño negocio.

Datos comprobados el 17 de octubre de 2026.

Los ocho hechos de un vistazo

Avisos sobre códigos QR maliciosos

1. El FBI dijo que los códigos QR esquivan los filtros de correo

El FLASH AC-000001-MW del FBI del 8 de enero de 2026 describe cómo el grupo norcoreano Kimsuky enviaba por correo códigos QR a centros de estudios y organismos públicos. El FBI dice que estas campañas suelen enviar las imágenes QR como adjuntos o gráficos insertados, que esquivan la inspección y reescritura de URL y el sandboxing, y llevan a la víctima a un teléfono. Aconseja formar al personal sobre los códigos no solicitados «sea cual sea su origen (correo electrónico, carta, folleto, envase)».

Para un pequeño negocio: el aviso se dirige a organizaciones con vínculos con Corea del Norte, no a tiendas. Su comprobación es sencilla: confirma un código inesperado con el remitente por otro canal antes de introducir una contraseña o descargar un archivo.

2. Microsoft contó un phishing con QR que subió y luego bajó

El informe de amenazas por correo del primer trimestre de 2026 de Microsoft dice que los ataques con códigos QR pasaron de 7,6 millones en enero a 18,7 millones en marzo. Su informe del segundo trimestre dice que el volumen bajó un 7% en abril, hasta 17,4 millones, cayó un 38% en mayo y cerró junio en 8,3 millones, cuando el phishing con QR «volvió a niveles vistos por última vez a mediados de 2025».

Para un pequeño negocio: son recuentos de detección de un solo proveedor (datos de proveedor), y las secciones sobre QR no explican cómo se cuenta un ataque, así que tómalos como una tendencia, no como un total del sector. Nuestra guía para detectar un código QR falso sirve en cualquier caso.

3. Aparecieron pegatinas falsas en máquinas de aparcamiento

La ciudad de Mississauga advirtió el 24 de abril de que «cualquier código QR encontrado en una máquina de aparcamiento de pago municipal no es legítimo», y dijo que se retiraron unas 80 pegatinas fraudulentas. La alerta de la FTC del 3 de septiembre dice que hubo denuncias de estafadores que tapaban los códigos QR reales de los parquímetros con los suyos, y aconseja revisar la vista previa del enlace en busca de faltas de ortografía o letras cambiadas. Auckland Transport dijo el 8 de septiembre que no usa códigos QR en ninguno de sus parquímetros ni máquinas de aparcamiento.

Para un pequeño negocio: las dos autoridades dieron a los conductores una regla que no requiere inspeccionar nada, y la FTC añade una comprobación para los códigos que sí existen. Para tus propios códigos impresos, consulta cómo proteger los códigos QR impresos de las pegatinas fraudulentas.

4. WhatsApp anunció avisos sobre la vinculación de dispositivos

El anuncio de Meta del 11 de marzo de 2026 dice que los estafadores pueden intentar engañar a la gente para que vincule una cuenta de WhatsApp a su dispositivo, entre otras cosas haciéndoles escanear un código QR con un pretexto falso. Los avisos de WhatsApp muestran de dónde viene la solicitud y advierten de que podría ser una estafa.

Para un pequeño negocio: según Meta, escanear un código QR es una de las formas en que los estafadores intentan que una cuenta quede vinculada a su dispositivo.

Códigos de barras y normas

5. GS1 quiere que los escáneres de caja lean códigos 2D a finales de 2027

GS1, el organismo de normalización de los códigos de barras, dice en un documento de posición de agosto de 2026 que el sector se ha fijado un objetivo: a finales de 2027, todos los sistemas de punto de venta minorista deberían poder leer un conjunto definido de códigos de barras 2D conformes con GS1. Su guía de diciembre de 2025 califica la transición de «voluntaria» y dice que los códigos de barras lineales «no desaparecerán». Esa guía llama al objetivo «Ambition 2027»; GS1 US lo llama Sunrise 2027 y dice que no es necesario implantar para entonces todas las capacidades 2D. Los formatos de caja son GS1 DataMatrix, un Data Matrix con sintaxis URI de GS1 Digital Link y un código QR con sintaxis URI de GS1 Digital Link. Un código QR que contiene una dirección web corriente, no escrita con la sintaxis URI de GS1 Digital Link, no es uno de ellos.

En abril de 2026, Tesco dijo en una nota de prensa que estaba pasando 13 referencias de sus salchichas de marca propia de códigos de barras a códigos QR, y se describió como el primer supermercado del Reino Unido en actualizar una gama de productos completa al nuevo sistema. A octubre de 2026, el objetivo de GS1 es una meta voluntaria del sector, no una ley, y esto no es asesoramiento jurídico.

Para un pequeño negocio: un código en el envase para que los compradores lo escaneen en casa es distinto del código de barras de caja. Un código dinámico, como los de QR Maker AI (tres activos en el plan gratuito, a octubre de 2026), codifica un enlace corto, así que después de cambiar el destino el siguiente escaneo va a la nueva dirección, sin reimprimir. No es un código GS1 Digital Link y no sustituirá a tu código de barras en caja. Consulta códigos QR para envases de productos, cuánto tiempo debe seguir funcionando el enlace de un código QR o crea un código dinámico.

6. ISO empezó a trabajar en una quinta edición de la norma del código QR

La página del comité de ISO muestra la edición 5 de la ISO/IEC 18004 en desarrollo, destinada a sustituir a la ISO/IEC 18004:2024, con el proyecto aprobado el 25 de febrero de 2026 y el periodo de comentarios cerrado el 19 de junio de 2026.

Para un pequeño negocio: la página no dice qué cambiará, así que todavía no hay nada que planificar.

Pagos y facturas (regional)

7. India: una comisión a comerciantes en UPI entra en vigor el 15 de octubre

El documento de preguntas frecuentes de NPCI, fechado el 15 de septiembre de 2026, dice que a partir del 15 de octubre de 2026 se aplica una tasa de descuento al comerciante del 0,4% a los pagos UPI de persona a comerciante de más de ₹2.000, con un tope de ₹300 por pago a partir de ₹75.000 y tasas distintas para algunos sectores. Los pagos de hasta ₹2.000 no se ven afectados, y los pequeños comerciantes que reciben hasta ₹1 lakh (100.000 rupias) al mes mediante QR de UPI directamente en sus cuentas siguen sin comisión.

Para un pequeño negocio: NPCI dice que no hace falta sustituir los soportes QR ni los altavoces de cobro existentes. El documento es anterior a la fecha de inicio, y las fuentes de aquí no incluyen datos sobre el efecto de la norma.

8. España: las normas de los sistemas de facturación añaden un código QR a las facturas

La Agencia Tributaria, en una página actualizada el 13 de octubre de 2026, dice que, una vez que las normas de los sistemas informáticos de facturación (SIF) se aplican a un emisor, todas sus facturas, completas o simplificadas, deben llevar un código QR. Un real decreto-ley de diciembre de 2025 fija el plazo para los sistemas de facturación antes del 1 de enero de 2027 para los contribuyentes del artículo 3.1.a) y antes del 1 de julio de 2027 para el resto del artículo 3.1.

Para un pequeño negocio: el código QR se aplica a los emisores sujetos a las normas de los sistemas de facturación, que, según la página de la Agencia Tributaria, no cubren las operaciones que no requieren factura, así que comprueba si te afectan. Estas fechas son las vigentes a octubre de 2026 y pueden cambiar, así que consulta el texto oficial. Esto no es asesoramiento jurídico.

Preguntas frecuentes

¿Está aumentando el phishing con códigos QR en 2026?

Los recuentos del informe del primer trimestre de Microsoft subieron de 7,6 millones de ataques en enero a 18,7 millones en marzo, y luego su informe del segundo trimestre muestra una caída a 8,3 millones en junio. Son datos de un solo proveedor, no un total del sector.

¿Sustituirán los códigos QR a los códigos de barras en caja?

El objetivo de GS1 es que a finales de 2027 los escáneres de caja puedan leer tanto códigos de barras lineales como 2D, y su guía dice que los códigos lineales no desaparecerán. La transición es voluntaria.

¿Cambia algo de esto el funcionamiento de mi código QR normal?

En las fuentes que leímos, ninguna dice que un código QR que abre una página web vaya a crearse o leerse de otra forma. La página de ISO muestra una quinta edición de la norma en desarrollo, pero no dice qué cambiaría, y los puntos de GS1, pagos y facturas se refieren a formatos concretos.

Fuentes

1. FBI Internet Crime Complaint Center — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities (FLASH AC-000001-MW). Published 8 January 2026. Accessed 17 October 2026.
2. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
3. Microsoft Threat Intelligence — Email threat landscape: Q2 2026 trends and insights. Published 23 July 2026. Accessed 17 October 2026. (vendor data)
4. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
5. Federal Trade Commission — See a QR code parked somewhere? Don't scan it...yet!. Published 3 September 2026. Accessed 17 October 2026.
6. Auckland Transport — Aucklanders warned about scam parking meter QR codes. Published 8 September 2026. Accessed 17 October 2026.
7. Meta — Meta Launches New Anti-Scam Tools, Deploys AI Technology to Fight Scammers and Protect People. Published 11 March 2026. Accessed 17 October 2026.
8. GS1 — Position Paper: Migration to a single GS1 conformant 2D barcode for retailer private label, retailer-exclusive and in-store labelled products. Release 2.0, August 2026. Accessed 17 October 2026.
9. GS1 — 2D Barcodes at Retail Point-of-Sale Implementation Guideline. Release 1.1.0, ratified December 2025. Accessed 17 October 2026.
10. GS1 US — What is GS1 Sunrise 2027?. Undated. Accessed 17 October 2026.
11. Tesco PLC — Tesco sausage range becomes first UK products to switch over exclusively to QR codes. Published 20 April 2026. Accessed 17 October 2026.
12. ISO/IEC JTC 1/SC 31 — ISO/IEC WD 18004, QR code bar code symbology specification (Edition 5). Stage dates February to June 2026. Accessed 17 October 2026.
13. National Payments Corporation of India — Merchant Discount Rate (MDR) on Select UPI (P2M) Transactions: Frequently Asked Questions. Dated 15 September 2026. Accessed 17 October 2026.
14. Agencia Tributaria (Spain) — Cuestiones generales: Sistemas informáticos de facturación y VERI*FACTU. Page updated 13 October 2026. Accessed 17 October 2026.
15. Boletín Oficial del Estado — Real Decreto-ley 15/2025, de 2 de diciembre. Published 3 December 2025. Accessed 17 October 2026.