Los códigos QR se han integrado con rapidez en actividades cotidianas, desde consultar un menú o realizar un pago hasta acceder a información y servicios digitales, sin embargo, esta familiaridad también ha abierto una nueva puerta para los ciberdelincuentes.
ESET advierte sobre el crecimiento del quishing, una modalidad de phishing basada en códigos QR que busca ocultar enlaces maliciosos, comprometer credenciales e información confidencial y evadir algunos controles de seguridad tradicionales.
El fenómeno adquiere especial relevancia en los entornos corporativos, donde un código QR puede trasladar la interacción desde una computadora protegida por los controles de seguridad de una organización hacia un teléfono móvil personal, que podría contar con menos medidas de protección.
Un código QR, abreviatura de Quick Response o respuesta rápida, es un código bidimensional capaz de almacenar URL, datos de pago, información de contacto y otros contenidos digitales.
Su uso generalizado y la facilidad con la que pueden ser creados los han convertido, según ESET, en una herramienta atractiva para los actores de amenazas.
La estrategia puede ser tan sencilla como sustituir un enlace o archivo adjunto malicioso por un código QR dentro de un correo electrónico. Para el atacante, una de las principales ventajas consiste en ocultar el destino real del enlace, ya que la dirección web queda codificada dentro de un patrón visual que no puede ser interpretado directamente por el usuario.
Esta característica también puede dificultar la detección por parte de algunos filtros tradicionales de correo electrónico. Los códigos QR pueden aparecer, además, incrustados en archivos PDF o imágenes JPEG, aumentando las posibilidades de que lleguen a las bandejas de entrada de los empleados.
Una vez que el mensaje es recibido, identificar la amenaza puede resultar más complejo. Generalmente hay poco texto disponible para analizar en busca de errores ortográficos o gramaticales, mientras que la URL permanece oculta dentro del código visual.
Elemento habitual en la rutina diaria
“Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web”, explica Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
El especialista advierte que un solo escaneo sin las debidas precauciones puede facilitar un acceso no autorizado a un entorno corporativo, al permitir que la amenaza pase de un sistema relativamente protegido hacia un dispositivo móvil potencialmente no gestionado.
De acuerdo con el ESET Threat Report H1 2026, los códigos QR maliciosos estuvieron presentes en el 11 % de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026.
La compañía identifica este tipo de campañas bajo la detección QRCode/Phishing, diseñada para localizar códigos QR en distintos tipos de archivos, decodificar las URL y analizarlas mediante motores de detección de phishing, malware y spam.
Para reducir el riesgo, ESET destaca la importancia de combinar capacitación, procesos y tecnología. La concienciación de los empleados es uno de los elementos fundamentales, especialmente para evitar el escaneo de códigos QR incluidos en correos electrónicos no solicitados y promover el reporte de mensajes sospechosos.
La recomendación incluye verificar directamente con el supuesto remitente cuando exista alguna duda, utilizando datos de contacto obtenidos por una vía diferente al mensaje recibido.
En el ámbito tecnológico, la compañía recomienda incorporar soluciones de seguridad para el correo electrónico y los dispositivos móviles, así como implementar autenticación multifactor resistente al phishing en las cuentas más sensibles.
Las herramientas de administración de dispositivos móviles también pueden contribuir a garantizar que los equipos utilizados por los empleados cumplan con las políticas de seguridad de la organización.
Asimismo, reducir la superficie de ataque continúa siendo una práctica esencial. ESET recomienda aplicar el principio de mínimo privilegio, mantener actualizados los sistemas operativos y el software corporativo, supervisar posibles actividades sospechosas y poner a prueba los planes de respuesta a incidentes.
“Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia”, concluye Micucci.
La expansión del quishing confirma que los hábitos digitales cotidianos también pueden convertirse en una oportunidad para el cibercrimen. A medida que los códigos QR se consolidan como una vía habitual de acceso a servicios e información, el reto para empresas y usuarios será desarrollar el mismo nivel de precaución que ya existe frente a los enlaces y archivos adjuntos sospechosos. En materia de ciberseguridad, la rapidez de acceso no debería sustituir la necesidad de verificar antes de confiar.
