Quishing: cómo los códigos QR eluden la seguridad corporativa y qué hacer

El quishing, o phishing mediante códigos QR, representa una evolución del phishing tradicional que está ganando terreno rápidamente. En lugar de enviar un enlace clickable o un adjunto sospechoso, los atacantes insertan un código QR que, al ser escaneado con el teléfono, redirige a una página de phishing o descarga malware. Esto es especialmente peligroso en entornos corporativos porque traslada la interacción del equipo de escritorio (protegido por capas de seguridad) al celular personal, que suele tener menos controles.

La principal ventaja para el atacante es el ocultamiento. El destino real de la URL queda codificado en el patrón del QR y no aparece como texto legible en el correo. Muchos filtros antispam tradicionales no pueden extraer ni analizar esa URL, por lo que el mensaje llega más fácilmente a la bandeja de entrada. Además, los códigos QR se generan en segundos y se pueden incrustar en PDFs o imágenes, reduciendo aún más las señales visibles de peligro.

Los mensajes suelen imitar marcas confiables como DocuSign, Microsoft o bancos, y crean urgencia: "verifique su cuenta ahora" o "confirme su autenticación". Según el ESET Threat Report H1 2026, los códigos QR maliciosos aparecieron en el 11% de los correos de phishing detectados en la primera mitad del año. ESET los detecta con una capa específica que decodifica la URL y la analiza con sus motores antiphishing y antimalware.

El impacto va más allá del robo de credenciales. Los atacantes también usan quishing para robar tokens de autenticación multifactor (MFA), instalar malware o realizar ataques de ingeniería social más sofisticados. Incluso grupos APT como el norcoreano Kimsuky han sido vistos utilizando spearphishing con QR en correos dirigidos a centros de investigación y organismos gubernamentales, según alertas del FBI de enero de 2026.

Para cerrar esta brecha en tu organización, el primer paso es la capacitación. Incorporá el quishing en los programas de concientización y en los simulacros de phishing. Enseñá a los empleados que nunca deben escanear códigos QR que lleguen en correos no solicitados. Si el mensaje parece provenir de un proveedor conocido, deben verificar por otro canal (llamada o chat oficial) antes de escanear.

En el plano técnico, elegí una solución de seguridad de correo electrónico que incluya detección específica de códigos QR. Complementala con protección en dispositivos móviles que bloquee sitios maliciosos y malware. Exigí MFA resistente al phishing (como llaves de hardware o autenticadores basados en estándares FIDO) para cuentas sensibles. Las herramientas MDM ayudan a aplicar políticas uniformes en todos los celulares corporativos o BYOD.

Reducí la superficie de ataque aplicando principio de mínimo privilegio y acceso just-in-time. Mantené actualizados los sistemas operativos móviles y todas las herramientas de seguridad. Realizá monitoreo continuo y probá regularmente tu plan de respuesta a incidentes.

Los códigos QR ya son parte cotidiana del trabajo y la vida diaria. La familiaridad no tiene que traducirse en complacencia. Capacitando a las personas y combinando tecnología adecuada, las organizaciones pueden reducir significativamente el riesgo de quishing sin volver a los tiempos anteriores a la pandemia.

Verificación práctica que podés hacer hoy

• Revisá tu filtro de correo: ¿detecta y bloquea QR con URLs sospechosas?
• Chequeá si tu solución móvil incluye protección web y antimalware.
• Actualizá el contenido de tu próxima sesión de concientización para incluir ejemplos reales de quishing.

Hacer estas revisiones de rutina es lo que evita que un ticket de "sitio comprometido" termine en tu bandeja de soporte.