Cuanto más familiar resulte algo, más probable es que se deje de cuestionarlo. En ciberseguridad, esa complacencia puede ser especialmente peligrosa. Es el caso de los códigos QR, que se han vuelto algo habitual en menús, postes de alumbrado y parquímetros, y también en correos electrónicos durante los últimos años.
En este sentido, ESET advierte sobre el crecimiento del quishing (phishing basado en códigos QR) y cómo representa una forma de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y los riesgos de que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad.
Según ESET, los códigos QR resultan atractivos para los actores de amenazas debido a uso habitual y generalizado, a que se integran fácilmente en las campañas de phishing: basta con reemplazar ese enlace o archivo adjunto malicioso por un código QR, y a que pueden generarse en segundos.
Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. El destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas. En ocasiones se ocultan aún más al incrustarlas en archivos adjuntos PDF o JPEG. Esto aumenta las probabilidades de que lleguen a las bandejas de entrada de sus empleados.
Y cuando lo hacen, el personal puede tener dificultades para distinguir un mensaje legítimo de uno malicioso. Normalmente hay poco texto para analizar en busca de errores ortográficos o gramaticales. Y como el enlace está codificado en un patrón visual, resulta invisible para el ojo humano.
«Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web. Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido a un dispositivo móvil potencialmente no gestionado», menciona Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
Según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026. “ESET rastrea los correos electrónicos de quishing bajo el nombre de detección QRCode/Phishing. Esta detección está diseñada para identificar códigos QR en la gran mayoría de los tipos de archivo y decodificar las URL que contienen”.
Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing.
Fuente: ESET
