La utilización de códigos QR en la vida diaria se ha vuelto algo común, desde acceder a menús de restaurantes hasta pagar estacionamientos. Sin embargo, esta familiaridad está siendo explotada por ciberdelincuentes mediante una variante del phishing conocida como ‘quishing’, que ha registrado un incremento del 146 por ciento en los últimos tres meses, de acuerdo con datos de Microsoft.
Según la compañía, solo en marzo de este año se detectaron 18,7 millones de ataques de este tipo, frente a los 7,6 millones registrados en enero del mismo período. Este salto representa un crecimiento alarmante del 146% en apenas tres meses. Además, durante ese mismo lapso, Microsoft identificó cerca de 8.300 millones de amenazas de phishing distribuidas mediante correo electrónico, señalando a esta práctica como el vector de ataque de mayor crecimiento.
Especialistas de Áudea, la unidad de ciberseguridad de la compañía de soluciones IT Logicalis Spain, han advertido que la aparente inocuidad de los códigos QR sigue siendo una de las principales ventajas que los atacantes aprovechan para engañar a los usuarios.
Cómo los QR permiten ocultar páginas fraudulentas
El éxito de este método radica en que, a diferencia de un enlace visible, el usuario no puede conocer a simple vista la dirección web detrás del código. Como explicó Andrés Cartes Guilarte, Cybersecurity Culture Consultant de Áudea:
«El escaneo suele realizarse desde un ‘smartphone’ trasladando la interacción fuera del ordenador corporativo y, en muchos casos, fuera de los principales controles de seguridad de la organización.»
Cuando la víctima escanea un código QR malicioso, es conducida a páginas fraudulentas que imitan desde servicios corporativos hasta plataformas bancarias o páginas de autenticación, con el objetivo de obtener credenciales, datos personales o información financiera.
En cuanto a la distribución de estos códigos, el Email Threats Report 2026 de Barracuda revela que el 70 por ciento de los PDF maliciosos analizados contenían códigos QR que dirigían a páginas de phishing. Asimismo, el 56 por ciento de los documentos maliciosos de Microsoft 365 contenían quishing, y los códigos insertados directamente en el cuerpo de los correos electrónicos aumentaron un 336 por ciento en marzo de 2026.
Cuidado con los códigos QR en el mundo físico
El peligro no se limita al correo electrónico. Logicalis ha puesto el foco también en los códigos QR físicos presentes en restaurantes, comercios, transporte y servicios turísticos. La compañía menciona un caso real recogido por INCIBE ocurrido en agosto pasado: una usuaria escaneó un código QR para consultar la carta de un restaurante y, tras acceder al enlace y aceptar una ventana emergente, se activó una suscripción premium no solicitada. Otros clientes del mismo establecimiento sufrieron experiencias similares.
El uso de esta tecnología sigue en aumento. Datos de QR TIGER indican que aproximadamente el 75 por ciento de los restaurantes a nivel mundial ya emplean códigos QR para menús digitales, mientras que su aplicación en marketing y publicidad creció un 323 por ciento entre 2021 y 2023.
Frente a este panorama, Andrés Cartes Guilarte sentenció:
«Ya no basta con enseñar al usuario a no hacer clic en un enlace sospechoso. El ‘phishing’ está evolucionando hacia formatos que eliminan precisamente ese enlace de nuestra vista. La seguridad debe acompañar al usuario desde el correo hasta la identidad y el dispositivo desde el que finalmente accede al servicio.»
Fuente: Infobae