En los últimos años, los códigos QR se han convertido en una herramienta habitual en la vida diaria, utilizados para acceder a menús, hacer pagos o registrarse en eventos. Sin embargo, este incremento en su uso también ha traído consigo un nuevo riesgo en el ámbito de la ciberseguridad conocido como «quishing», una variante de phishing donde los atacantes emplean códigos QR para engañar a los usuarios y robar sus datos.
La popularidad de los códigos QR se ha disparado, especialmente durante la pandemia, que impulsó la demanda de interacciones sin contacto. Esta tendencia ha facilitado a los ciberdelincuentes la tarea de esconder enlaces maliciosos detrás de patrones visuales que los usuarios escanean con la simple acción de apuntar sus teléfonos. A diferencia de los enlaces visibles en correos electrónicos, los códigos QR ocultan su destino real, lo que complica la detección por parte de filtros de seguridad tradicionales.
Los ataques de quishing han demostrado ser altamente efectivos, ya que dirigen a las víctimas desde entornos corporativos relativamente seguros hacia dispositivos personales, que generalmente carecen de las mismas protecciones. Esto no solo permite que los atacantes roben credenciales o instalen malware, sino que también pueden cosechar tokens de autenticación multifactor (MFA) y llevar a cabo fraudes financieros.
La técnica de quishing se ve potenciada cuando se utilizan marcas reconocidas. Por ejemplo, un código QR en un correo que aparenta ser de DocuSign o Microsoft puede generar la falsa sensación de seguridad en el usuario, lo que aumenta la probabilidad de que haga clic sin dudar. El sentido de urgencia creado por mensajes que advierten sobre la necesidad de verificar cuentas o autenticar detalles también juega un papel crucial en el éxito de estos ataques.
Según un informe reciente, en la primera mitad de 2026, el 11% de todos los correos electrónicos de phishing contenían códigos QR maliciosos. Esto refleja la necesidad de que las empresas implementen medidas preventivas para proteger a sus empleados y la integridad de su información.
Frente a esta amenaza creciente, se recomienda que las organizaciones integren la formación sobre quishing en sus programas de sensibilización sobre seguridad cibernética, fomentando el escepticismo hacia los códigos QR recibidos en correos no solicitados. Además, la implementación de soluciones de seguridad móviles y estrictos protocolos de autenticación puede ayudar a mitigar los riesgos.
La evolución de los códigos QR en el ámbito empresarial ha transformado su percepción de una novedad a un elemento integral de la operativa diaria. Por tanto, es crucial que tanto las empresas como los empleados mantengan la alerta y adopten prácticas seguras al interactuar con esta tecnología, ya que la familiaridad no debe convertirse en complacencia en el entorno de la ciberseguridad.
Fuente: WeLiveSecurity by eSet.
