El correo parece legítimo. El logo es el correcto, el tono es el habitual y el asunto dice que hay que verificar el acceso a la cuenta. En el cuerpo del mensaje, en lugar de un enlace, hay un código QR. Lo escaneas con el móvil. En ese momento has salido del entorno protegido de tu empresa y has aterrizando en una página de phishing desde un dispositivo que probablemente no tiene los mismos controles de seguridad.
Esto es quishing — phishing mediante código QR — y según el informe de amenazas de ESET correspondiente al primer semestre de 2026, uno de cada once correos de phishing detectados en ese período incluía un código QR malicioso. Ya no es una técnica experimental: es parte del arsenal estándar de los atacantes.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Por qué el QR evade los filtros de seguridad tradicionales
Un enlace malicioso en un correo es texto. Los sistemas de seguridad de email pueden extraerlo, analizarlo, compararlo contra bases de datos de dominios fraudulentos y bloquearlo antes de que llegue al usuario. Un código QR es una imagen. La URL que codifica está oculta dentro de un patrón visual que la mayoría de los filtros de email tradicionales no están diseñados para decodificar y analizar.
Esa diferencia es el núcleo de la técnica. El atacante sustituye el enlace malicioso por un QR que codifica exactamente la misma URL, y con eso sortea una parte significativa de la cadena de detección. Para añadir otra capa de opacidad, los QR maliciosos suelen incrustarse dentro de archivos PDF o imágenes JPEG adjuntos al correo — lo que complica aún más la extracción y el análisis automático del enlace.
Hay además un efecto de traslado de dispositivo que los atacantes explotan deliberadamente. Cuando un empleado escanea un QR con su teléfono personal, abandona el perímetro de seguridad corporativo — el ordenador del trabajo con sus controles, sus políticas y su software de seguridad — y pasa a un dispositivo móvil que puede no tener ningún control equivalente. El atacante consigue que la víctima haga sola el trabajo de eludir la seguridad de la organización.
Cómo evoluciona el quishing
Los ataques de quishing documentados en el primer semestre de 2026 van mucho más allá del robo de credenciales mediante una página de login falsa. Los investigadores de ESET han identificado variantes diseñadas para:
- Instalar aplicaciones maliciosas directamente desde fuera de las tiendas oficiales, eludiendo los controles de seguridad de Google Play y App Store.
- Redirigir a la víctima a aplicaciones legítimas de pago con los datos del beneficiario ya rellenados, facilitando el fraude financiero directo.
- Inyectar contactos o eventos maliciosos en el calendario o la agenda del teléfono, que incluyen enlaces de phishing que se activarán más adelante.
- Conectar automáticamente el dispositivo a un punto de acceso WiFi controlado por el atacante.
- Capturar tokens de autenticación multifactor mediante ataques adversary-in-the-middle, haciendo inútil el segundo factor de autenticación.
Grupos de espionaje patrocinados por estados también han incorporado el quishing a sus operaciones. En enero de 2026, el FBI alertó de que el grupo norcoreano Kimsuky usó QR maliciosos en campañas de spearphishing dirigidas a think tanks, instituciones académicas y organismos gubernamentales, camuflando el código como enlace a cuestionarios o plataformas seguras de documentos.
Por qué el QR genera confianza visual
El código QR como objeto visual transmite una sensación de legitimidad que un enlace sospechoso no siempre consigue. Durante la pandemia, los QR se convirtieron en el mecanismo estándar para acceder a menús, registrarse en eventos y realizar pagos — asociados con servicios legítimos en contextos de confianza. Esa familiaridad es exactamente lo que los atacantes explotan.
Combinado con la suplantación de marcas reconocibles — Microsoft, DocuSign, el departamento de IT de la propia organización — y con el mecanismo habitual de urgencia ("tu sesión expirará", "verifica tu identidad antes de las 24 horas"), el quishing replica todos los elementos del phishing clásico con la ventaja adicional de que el vector de ataque es invisible para el ojo humano: nadie puede leer una URL codificada en un patrón de puntos.
Si recibes un correo con un código QR
No hagas esto:
- No escanees un QR que aparezca en un correo no solicitado, aunque el remitente parezca legítimo.
- No escanees un QR desde el ordenador del trabajo con el móvil personal sin verificar antes la procedencia del mensaje.
- No introduzcas credenciales ni códigos de verificación en ninguna página a la que hayas llegado escaneando un QR de un correo.
Haz esto:
- Si el correo parece venir de un servicio que usas, accede directamente a ese servicio escribiendo la dirección en el navegador — no a través del QR.
- Si tienes dudas sobre si el correo es legítimo, sube el archivo PDF o la imagen que contiene el QR a ORTSLAB. El motor extrae y analiza la URL codificada en el código QR antes de que la abras.
- Si ya has escaneado el QR y has introducido credenciales, cambia la contraseña inmediatamente y revisa si hay sesiones activas no reconocidas en tu cuenta.
Un código QR en un correo no es en sí mismo sospechoso — pero sí lo es cuando aparece en un mensaje no solicitado que pide verificar, autenticar o acceder a algo con urgencia. La URL que oculta es tan analizable como cualquier enlace de texto: solo hace falta extraerla antes de abrirla.