Los códigos QR maliciosos estuvieron presentes en el 11 % de los correos electrónicos de phishing detectados durante la primera mitad de 2026.
Escanear un código QR para consultar un menú, realizar un pago o acceder rápidamente a una página web se ha convertido en una acción cotidiana, pero esa familiaridad está siendo aprovechada por ciberdelincuentes para robar credenciales e información confidencial.
La modalidad se conoce como quishing, una variante del phishing que utiliza códigos QR para ocultar enlaces maliciosos y conducir al usuario hacia sitios fraudulentos.
ESET advierte que este mecanismo presenta un desafío particular porque la dirección de internet está codificada dentro de un patrón visual y no aparece como un enlace que el usuario pueda revisar fácilmente antes de escanearlo.
Para los atacantes también supone una ventaja: algunos sistemas tradicionales de seguridad del correo electrónico pueden tener dificultades para identificar la dirección maliciosa escondida en el código, que además puede incorporarse dentro de archivos PDF o imágenes JPEG.
¿Cómo funciona?
Un código QR puede contener direcciones de páginas web, datos de pago, información de contacto y otros contenidos digitales.
Los ciberdelincuentes aprovechan esa capacidad sustituyendo el enlace que normalmente aparecería en un correo fraudulento por un QR. La víctima lo escanea con su teléfono y puede ser dirigida hacia una página preparada para obtener contraseñas u otra información.
“Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza”, explica Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
El especialista advierte además sobre un riesgo adicional en las empresas: el código puede llegar a una computadora corporativa protegida, pero terminar siendo escaneado desde un celular personal con menos controles de seguridad.
Según el ESET Threat Report H1 2026, los códigos QR maliciosos estuvieron presentes en el 11 % de todos los correos de phishing detectados durante los primeros seis meses del año.
Antes de escanear
La principal recomendación es evitar escanear códigos QR recibidos mediante correos electrónicos no solicitados, especialmente cuando el mensaje intenta provocar una acción inmediata.
Si aparentemente procede de una empresa, institución o persona conocida, ESET aconseja confirmar su autenticidad directamente con el remitente utilizando una vía de contacto diferente a la proporcionada en el propio mensaje.
En el ámbito empresarial, la compañía recomienda incorporar el quishing a los programas de capacitación sobre ciberseguridad, utilizar herramientas de protección para dispositivos móviles y aplicar autenticación multifactor resistente al phishing en las cuentas sensibles.
Aconseja mantener actualizados los sistemas operativos y programas, limitar los permisos de acceso y supervisar posibles actividades sospechosas.
La advertencia es especialmente relevante porque la confianza adquirida en los códigos QR puede hacer que el usuario baje la guardia ante una tecnología que utiliza diariamente.
Antes de escanear, por tanto, conviene aplicar la misma precaución que frente a un enlace desconocido: un código QR tampoco garantiza que el sitio al que conduce sea seguro.
leídas
