Crece el phishing con códigos QR
El phishing con códigos QR creció un 146 por ciento entre enero y marzo de 2026
Guillermo Fernández, Manager, Sales Engineering Southern Europe, WatchGuard
El phishing basado en códigos QR, también conocido como quishing, se ha convertido en una amenaza de rápido crecimiento. Muchas de estas campañas no requieren malware nuevo ni exploits sofisticados: aprovechan la confianza que los usuarios depositan en una herramienta cotidiana. Al ocultar direcciones maliciosas dentro de imágenes o documentos, los atacantes intentan sortear los motores de análisis basados en texto y llevar a la víctima a una página de phishing, a menudo desde un móvil no gestionado.
Según Microsoft Threat Intelligence, el volumen de amenazas de phishing por correo electrónico que utilizaban códigos QR y que Microsoft detectó pasó de 7,6 millones en enero a 18,7 millones en marzo de 2026, lo que supone un incremento del 146%. Fue el vector de ataque de mayor crecimiento durante el primer trimestre y alcanzó su volumen mensual más alto en al menos un año.
El dato no implica que los códigos QR sean la técnica de phishing más frecuente, pero sí confirma la rapidez con la que está creciendo su uso. El mismo análisis señala que los archivos PDF fueron el principal método de entrega: representaron el 65% de los ataques con QR en enero y el 70% en marzo.
Para las organizaciones que buscan proteger sus redes y sus datos, esto representa un reto creciente. ¿Qué medidas pueden adoptar para reducir el riesgo y proteger a sus empleados, sus identidades y su información?
Por qué los atacantes están recurriendo a los códigos QR
El crecimiento de estas campañas refleja un cambio en la forma de diseñar los ataques. Aunque el robo de credenciales sigue siendo el principal objetivo, los ciberdelincuentes intentan ocultar el engaño dentro de procesos familiares para que el usuario actúe de forma automática y pase por alto las señales de alerta.
Los códigos QR resultan especialmente eficaces porque forman parte de nuestra vida diaria: los utilizamos para acceder a servicios digitales, realizar pagos o completar procesos de autenticación. Cuando el código llega por correo y se escanea con un móvil, la navegación abandona el entorno inicial y puede continuar en un dispositivo sobre el que la organización tiene poca o ninguna visibilidad.
Estas campañas suelen seguir una secuencia reconocible:
• Incluir un código QR en el cuerpo de un correo o en un archivo adjunto, a menudo un PDF.
• Utilizar un mensaje o un proceso conocido para generar confianza y provocar el escaneo.
• Redirigir al usuario a un sitio de phishing que imita un servicio legítimo.
• Capturar credenciales o tokens de sesión y utilizarlos para acceder a servicios corporativos.
Para la víctima, la experiencia puede parecer completamente normal, incluso cuando forma parte de una cadena de ataque.
Un reto que exige visibilidad en varias capas
En este tipo de ataques, el código QR es solo el punto de entrada. El verdadero riesgo aparece cuando el usuario interactúa con el sitio malicioso y entrega sus credenciales o su sesión. A partir de ahí, los atacantes pueden acceder a aplicaciones corporativas, datos sensibles y servicios internos sin necesidad de desplegar malware complejo.
Por eso, los equipos de seguridad deben correlacionar señales procedentes del correo, la navegación, la identidad, las aplicaciones en la nube y los endpoints. Según el dispositivo utilizado para escanear el código, la actividad inicial puede producirse fuera del perímetro gestionado; ningún control aislado ofrece visibilidad sobre toda la cadena.
Una defensa multicapa frente al quishing
La respuesta debe combinar prevención, detección y capacidad de respuesta en varias capas complementarias:
• Protección del correo capaz de detectar códigos QR en imágenes y adjuntos, analizar sus destinos y retirar mensajes maliciosos ya entregados
• Filtrado web, protección de red y navegación segura para bloquear páginas de phishing y otros destinos maliciosos
• Autenticación resistente al phishing, métodos sin contraseña y políticas de acceso condicional que reduzcan el valor de las credenciales robadas
• Visibilidad coordinada sobre endpoints e identidades para detectar accesos anómalos, correlacionar eventos y contener la actividad antes de que se propague
• Formación periódica y mecanismos sencillos para que los usuarios comprueben y comuniquen mensajes sospechosos
Dentro de esta estrategia, el endpoint sigue siendo una capa crítica, especialmente en los dispositivos gestionados. Una protección moderna, integrada con la telemetría de identidad, red y correo, permite detectar comportamientos sospechosos, reducir el ruido mediante la correlación automatizada y responder con rapidez cuando un incidente supera los controles preventivos.
También resulta fundamental la búsqueda proactiva de amenazas, o threat hunting. Esta práctica no se limita a localizar indicadores de compromiso conocidos: busca anomalías, comportamientos y técnicas que puedan revelar una intrusión aún no detectada. Para las organizaciones que no cuentan con recursos internos suficientes, un servicio gestionado de detección y respuesta (MDR) puede aportar supervisión continua, experiencia especializada y una respuesta más rápida.
El quishing demuestra que los atacantes no necesitan técnicas extremadamente sofisticadas para tener éxito: les basta con explotar hábitos cotidianos y trasladar el engaño a entornos con menor visibilidad. Una defensa eficaz debe mantener una visión coordinada desde el mensaje inicial hasta la identidad, la sesión y el endpoint. Esa capacidad para relacionar señales y actuar con rapidez puede marcar la diferencia entre un intento aislado y una brecha de seguridad.
