El crecimiento del “quishing”, una modalidad de phishing que utiliza códigos QR maliciosos, está poniendo a prueba los controles tradicionales de seguridad y aumenta el riesgo de que usuarios y empresas expongan credenciales y datos confidenciales.
Santo Domingo.– Los códigos QR pasaron de ser una herramienta novedosa a convertirse en parte de la vida cotidiana. Se encuentran en restaurantes, establecimientos comerciales, parquímetros, anuncios publicitarios y hasta en comunicaciones corporativas. Sin embargo, esa familiaridad también los ha convertido en un nuevo recurso para los ciberdelincuentes.
La empresa de ciberseguridad ESET advierte sobre el crecimiento del quishing, una modalidad de ataque que utiliza códigos QR para dirigir a las víctimas hacia sitios web maliciosos con el propósito de robar credenciales, información confidencial o comprometer dispositivos y sistemas corporativos.
El mecanismo resulta particularmente efectivo porque el código oculta visualmente la dirección web hacia la que será dirigido el usuario. A diferencia de un enlace tradicional, cuya dirección puede ser revisada antes de hacer clic, un código QR presenta un patrón gráfico que dificulta identificar a simple vista si conduce a un sitio legítimo o fraudulento.
Una amenaza que aprovecha la confianza del usuario
Los ciberdelincuentes pueden incorporar códigos QR maliciosos en correos electrónicos, documentos PDF, imágenes y otros archivos. Una vez escaneado, el código puede llevar al usuario a una página diseñada para imitar servicios legítimos y solicitar información como contraseñas, datos bancarios o credenciales de acceso corporativo.
ESET señala que esta modalidad también representa un desafío para las organizaciones porque puede trasladar la interacción desde una computadora empresarial, protegida por diferentes sistemas de seguridad, hacia un teléfono personal que podría contar con menos controles.
«Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web», explicó Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
El especialista advirtió además que un solo escaneo realizado sin precaución puede abrir una vía de acceso hacia entornos corporativos que, en otras circunstancias, estarían mejor protegidos.
El quishing gana espacio entre los ataques de phishing
De acuerdo con el ESET Threat Report H1 2026, los códigos QR maliciosos estuvieron presentes en el 11 % de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026.
La compañía identifica estos mensajes mediante la detección QRCode/Phishing, diseñada para localizar códigos QR en distintos tipos de archivos y analizar las direcciones web que contienen. Las URL extraídas son posteriormente sometidas a controles antiphishing, antimalware y antispam.
El crecimiento de esta modalidad refleja una evolución de las técnicas utilizadas por los atacantes, quienes buscan aprovechar los hábitos cotidianos y la confianza automática de los usuarios para superar determinadas barreras de seguridad.
La prevención comienza con el usuario
Frente a este escenario, ESET recomienda incorporar el quishing dentro de los programas de capacitación y concienciación sobre ciberseguridad de las empresas.
Los empleados deben ser instruidos para evitar escanear códigos QR incluidos en correos electrónicos no solicitados, especialmente cuando el mensaje pide realizar un pago, ingresar credenciales, descargar un archivo o proporcionar información personal.
Cuando un mensaje aparentemente procede de una fuente conocida, la recomendación es confirmar su autenticidad por una vía independiente, utilizando datos de contacto obtenidos fuera del correo recibido.
Tecnología y capacitación, una combinación necesaria
La protección frente al quishing no depende únicamente de la conducta individual. Las empresas también deben fortalecer sus controles tecnológicos mediante soluciones de seguridad para correo electrónico y dispositivos móviles.
Entre las medidas recomendadas se encuentran el uso de autenticación multifactor resistente al phishing, herramientas de administración de dispositivos móviles, actualización permanente de sistemas operativos y aplicaciones, así como mecanismos capaces de bloquear el acceso a sitios maliciosos.
También resulta importante aplicar el principio de mínimo privilegio, limitar los permisos de los usuarios a los estrictamente necesarios y mantener una supervisión continua de actividades sospechosas.
A esto se suma la necesidad de contar con planes de respuesta ante incidentes y ponerlos a prueba periódicamente para reducir el impacto de una eventual brecha de seguridad.
Una amenaza que puede parecer inofensiva
El principal desafío del quishing está precisamente en su apariencia cotidiana. Un código QR puede parecer un elemento completamente inofensivo y, sin embargo, convertirse en el primer paso de una cadena de ataques.
«Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia», señaló Micucci.
La recomendación de los expertos es clara: antes de escanear, hay que detenerse y verificar. En un entorno donde los códigos QR forman parte cada vez más de la comunicación digital, mantener una actitud crítica puede marcar la diferencia entre una interacción cotidiana y una vulneración de seguridad.