El quishing, el phishing que esconde un enlace malicioso dentro de un código QR, ya no es una amenaza marginal. Según el ESET Threat Report H1 2026, los códigos QR estuvieron presentes en alrededor del 11% de los correos de phishing analizados por ESET en la primera mitad de 2026, y QRCode/Phishing ocupó el séptimo lugar entre las principales amenazas distribuidas por correo electrónico.
Dónde golpea más. Los países con más detecciones fueron Estados Unidos (19%), España (17%) y México (6%), según ESET. En América Latina, figuró entre las familias de phishing con mayor alcance regional, y México lideró los registros de la región.
El verdadero truco. Para ESET, lo más relevante no es el volumen, sino el recorrido del ataque. Al pedirte que escanees un código, el delincuente traslada la interacción desde un entorno relativamente protegido, como el ordenador del trabajo con filtros y antivirus, a un móvil que muchas veces es personal y no está gestionado por la empresa. El informe destaca que así se dificulta una inspección rápida de los enlaces maliciosos.
Dos casos reales. ESET muestra dos correos detectados. Uno suplanta a DocuSign y avisa de un documento listo para revisar y firmar; su botón amarillo no lleva a ningún sitio, así que la única forma de seguir es escanear el código. Según ESET, DocuSign fue una de las marcas más usadas en campañas de phishing en América Latina durante el semestre. El otro se reduce a una frase: "Please Scan QR to View New Salary", que apela a la curiosidad.
Por qué importa
Menos pistas, más confianza. A diferencia de un enlace escrito, el destino de un QR es invisible hasta que lo escaneas. Estos correos tienen poco texto, lo que reduce los errores que delatan el fraude, y los navegadores móviles truncan u ocultan la dirección. Además, usamos QR a diario para pagar, acceder a promociones o autenticarnos, y los cuestionamos menos. Ya en el móvil, puedes acabar en páginas falsas de inicio de sesión, pantallas de pago con datos precargados o descargas de apps maliciosas fuera de las tiendas oficiales. También hay versiones físicas, como adhesivos pegados sobre códigos legítimos.
- Desconfía de códigos pegados sobre otros o con señales de manipulación.
- Recela de códigos que no pediste y de mensajes con urgencia.
- Revisa la URL que muestra el lector antes de abrirla.
- Para facturas, envíos o trámites, entra tú mismo en la web o app oficial.
- No instales apps desde QR desconocidos; usa solo tiendas oficiales.
- Revisa todo antes de confirmar un pago o introducir credenciales.
La foto completa. ESET concluye que el quishing demuestra cómo los ciberdelincuentes adaptan técnicas conocidas a los hábitos digitales: cuanto más se integran los QR en la vida diaria, más oportunidades hay de usarlos para el fraude.
Fuente: WeLiveSecurity (ESET, ES)
Deja una respuesta