ESET señala que el uso cada vez más habitual de códigos QR en correos electrónicos y entornos corporativos está facilitando el crecimiento del quishing, una modalidad de phishing que oculta enlaces maliciosos dentro de códigos visuales y puede evadir algunos controles tradicionales de seguridad.
El riesgo aumenta cuando la interacción pasa de una computadora corporativa a un teléfono personal con menos controles de seguridad. Un código QR puede contener direcciones web, datos de pago, información de contacto u otros datos, por lo que los atacantes pueden sustituir fácilmente un enlace o archivo adjunto malicioso por este tipo de recurso.
Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. La dirección está codificada en un patrón visual y no aparece como texto legible, lo que puede impedir que algunos filtros tradicionales de correo electrónico la extraigan e inspeccionen.
En algunos casos, los códigos QR también se incrustan dentro de archivos PDF o JPEG, aumentando la posibilidad de que lleguen a la bandeja de entrada de los empleados.
“Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web”, explicó Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
El especialista añadió que un solo escaneo puede trasladar la interacción desde un entorno corporativo protegido hacia un dispositivo móvil potencialmente no gestionado, eludiendo así algunos controles de seguridad.
De acuerdo con el ESET Threat Report H1 2026, los códigos QR maliciosos estuvieron presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026.
ESET rastrea este tipo de amenazas bajo la detección QRCode/Phishing, diseñada para identificar códigos QR en diferentes tipos de archivo, decodificar las direcciones que contienen y analizarlas mediante motores antiphishing, antimalware y antispam.
Cómo reducir el riesgo de quishing
Para disminuir el riesgo dentro de las organizaciones, ESET recomienda combinar capacitación, procesos y controles técnicos.
El primer paso consiste en incorporar el quishing en los programas de concientización y ejercicios de simulación, además de promover que los empleados eviten escanear códigos QR incluidos en correos electrónicos no solicitados.
Si el mensaje parece provenir de una fuente confiable, la recomendación es verificarlo directamente con el remitente utilizando información de contacto obtenida por una vía distinta al correo recibido.
En el ámbito técnico, la compañía aconseja utilizar soluciones de seguridad de correo electrónico para reducir la posibilidad de que los mensajes de quishing lleguen a las bandejas de entrada, así como herramientas de seguridad móvil que bloqueen el acceso a sitios maliciosos.
También recomienda exigir autenticación multifactor resistente al phishing para las cuentas sensibles y utilizar herramientas de administración de dispositivos móviles para garantizar que los equipos cumplan con las políticas de seguridad de la organización.
Otro punto es reducir la superficie de ataque mediante el principio de mínimo privilegio y el acceso just in time, además de mantener actualizados los sistemas operativos móviles, el software corporativo y las herramientas de seguridad.
La supervisión continua y las pruebas periódicas de los planes de respuesta a incidentes también forman parte de las medidas sugeridas.
“Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing”, concluyó Micucci.
El especialista señaló que, así como los empleados han aprendido a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para reconocer las señales de advertencia relacionadas con códigos QR.
