¿Qué es el «quishing»? Cómo funciona el phishing con códigos QR y cómo prevenirlo

El «quishing» es una forma de phishing que utiliza códigos QR. En lugar de un enlace sospechoso en un correo electrónico, el atacante oculta una página web maliciosa tras un código QR, ya sea en un cartel, en un parquímetro o en un archivo adjunto de un correo electrónico. Cualquiera que escanee el código accede a una página falsa que recopila credenciales de inicio de sesión o datos de pago, o que instala malware.

El truco funciona porque un código QR oculta el destino. Mientras que en un correo electrónico aún puedes pasar el cursor por encima de un enlace para ver a dónde te lleva, un código QR no te da ninguna pista sobre dónde acabarás. En este artículo explicamos cómo funciona un ataque de «quishing», por qué esta forma de phishing está en auge y cómo puedes proteger a tu organización.

Significado de «quishing»: ¿qué significa este término?

El «quishing» es una contracción de «QR» y «phishing». El objetivo es el mismo que en cualquier ataque de phishing: engañar a alguien para que facilite sus credenciales, apruebe un pago o descargue malware. Lo único que cambia es el método de ejecución. El atacante no utiliza un enlace en el que se pueda hacer clic, sino un código QR que conduce a la página maliciosa.

Ese interruptor es más que un simple truco. Desde que empezó la pandemia, escaneamos códigos QR sin pensarlo dos veces: para consultar menús, realizar pagos, aparcar o iniciar sesión. Los atacantes se aprovechan precisamente de ese reflejo adquirido: escanear un código QR nos parece algo rutinario, no arriesgado.

¿Cómo funciona el «quishing»?

Un ataque típico de «quishing» sigue cuatro pasos:

• El atacante crea un código QR que redirige a una página web falsa, a menudo una imitación de una página de inicio de sesión de Microsoft 365, un banco o un proveedor de pagos.
• El código se distribuye por correo electrónico, mediante una carta, un folleto o en forma de pegatina colocada sobre un código QR auténtico en un lugar público.
• La víctima escanea el código con el móvil. Este es el paso decisivo: el ataque pasa de un ordenador portátil de trabajo gestionado, con filtros y software de seguridad, a un smartphone personal que suele estar mucho menos protegido.
• La página falsa cumple su función. La víctima inicia sesión en la página falsificada y el atacante captura las credenciales, que en ocasiones incluyen la sesión de autenticación multifactorial (MFA).

En entornos corporativos, la variante más habitual es un correo electrónico que parece proceder del departamento de TI o de Microsoft: supuestamente, tu configuración de autenticación multifactorial (MFA) caduca y tienes que escanear el código para volver a autenticarte. El correo en sí no contiene ningún enlace en el que se pueda hacer clic, lo que es precisamente lo que lo hace parecer inofensivo.

Por qué el phishing mediante códigos QR es tan eficaz

Quishing resuelve dos problemas que tienen los atacantes con los correos electrónicos de phishing clásicos.

En primer lugar: los filtros de correo electrónico leen el texto y comprueban los enlaces, pero un código QR es una imagen. La URL maliciosa es invisible, no solo para el destinatario, sino también para gran parte de las herramientas de seguridad. Los mensajes que se bloquearían al instante si contuvieran un enlace normal pasan sin problemas cuando incluyen un código QR.

Segundo: el escáner lleva a la víctima a su teléfono. En una pantalla pequeña, resulta más difícil comprobar la barra de direcciones, la URL suele estar parcialmente oculta y, con frecuencia, los dispositivos personales carecen de las medidas de protección de la empresa, como el filtrado web. El atacante saca a la víctima de su entorno protegido, precisamente en el momento en que comienza el ataque.

El «quishing» en la práctica: un código QR falso puede aparecer en cualquier sitio

El punto fuerte de este tipo de fraude es que un código QR fraudulento puede aparecer en cualquier lugar donde se encuentre uno normal: en una máquina, en tu buzón, en tu bandeja de entrada o en la pared de la oficina. Todas estas situaciones se han producido realmente:

• El código QR falso en el parquímetro. En noviembre de 2024, la policía neerlandesa y la ANWB alertaron sobre unas pegatinas con códigos QR falsos colocadas en parquímetros, entre otros lugares, en Ámsterdam, Maastricht y Sittard-Geleen. El código redirigía a una imitación de una conocida aplicación de aparcamiento; la «tarifa de aparcamiento» y los datos de la tarjeta iban directamente a manos de los delincuentes.
• La carta del «banco». Los estafadores envían cartas con un membrete bancario muy convincente: supuestamente hay que sustituir tu tarjeta de débito y tienes que escanear el código QR para tramitarlo. Veilig Bankieren advierte sobre esta forma de estafa, precisamente porque una carta en papel inspira más confianza que un correo electrónico.
• El correo electrónico de MFA en el trabajo. «Tu autenticador caduca hoy; escanea este código para seguir teniendo acceso». La urgencia, unida a un proceso familiar, hace que esta sea la variante más eficaz en la oficina.
• La factura falsa o la solicitud de firma. Un documento que parece proceder de DocuSign o de un proveedor, con un código QR para «ver» o «firmar» la factura.
• El cartel o folleto de la oficina. Un anuncio sobre una fiesta para el personal o una nueva política de aparcamiento, con un código QR que nadie cuestiona.

Quishing, phishing, smishing y vishing: ¿en qué se diferencian?

Las cuatro son formas de ingeniería social; la diferencia radica en el canal. El phishing clásico se lleva a cabo por correo electrónico con un enlace o un archivo adjunto. El smishing utiliza mensajes de texto y aplicaciones de mensajería, el vishing se produce por teléfono y el quishing utiliza códigos QR como vía de acceso. En la práctica, los atacantes combinan los canales: un correo electrónico de quishing en el trabajo, seguido de una llamada del «servicio de asistencia» preguntando si el inicio de sesión ha funcionado.

¿Quieres conocer todas las variantes y otros métodos de ataque? Lee nuestro artículo sobre los tipos más comunes de ataques de phishing.

Cómo proteger a tu organización contra el «quishing»

Haz que el comportamiento sea la primera línea de defensa. Precisamente porque a la tecnología le cuesta detectar los códigos QR, el reconocimiento por parte de los empleados es más importante que en el caso del phishing convencional. La formación en concienciación sobre seguridad enseña a tu equipo el reflejo que importa en este caso: tratar un código QR inesperado exactamente igual que un enlace inesperado. No lo escanees ni compruebes la vista previa de la URL tras escanearlo antes de pulsar para acceder a él.

Realiza pruebas con simulaciones realistas. Una simulación de phishing permite ver quién cae en qué trampa y convierte un clic erróneo en una oportunidad de aprendizaje, en lugar de en un incidente. Las pruebas periódicas mantienen la atención y permiten comprobar si el comportamiento mejora realmente.

Sube las deficiencias técnicas. Opta por una autenticación multifactorial (MFA) resistente al phishing siempre que sea posible, protege los dispositivos móviles que acceden a los datos de la empresa y facilita la notificación de incidencias: un empleado que notifique un correo electrónico sospechoso con un código QR en menos de un minuto protege a todos los compañeros que hayan recibido el mismo mensaje.

Preguntas más frecuentes

¿Qué ocurre si escaneas un código QR de phishing?

El escaneo en sí mismo no suele suponer ningún peligro. El riesgo reside en lo que ocurre a continuación: la página a la que te lleva el código. Siempre que no inicies sesión, introduzcas datos ni descargues nada, el daño suele ser limitado. ¿Has introducido tus credenciales? Cambia tu contraseña inmediatamente y avisa a tu departamento de TI.

¿Cómo se reconoce un código QR falso?

Fíjate en el contexto antes de escanear: una pegatina colocada sobre otro código, una solicitud de pago donde no te la esperarías o un correo electrónico que insiste en que escanees con el móvil son señales de alerta. Después de escanear, comprueba siempre la URL que muestra tu cámara antes de abrir la página.

¿El filtro antispam impide que se eliminen los correos electrónicos?

A menudo, no. La mayoría de los filtros comprueban los enlaces y el texto, y un código QR es una imagen sin un enlace legible. Algunos proveedores de seguridad ya analizan los códigos QR de los correos electrónicos, pero la detección va por detrás de la del phishing clásico. Precisamente por eso, contar con empleados atentos es la medida más importante.

El «quishing» no es un nuevo tipo de engaño, sino una nueva forma de presentar un viejo truco: llevar a alguien a una página falsa y hacer que sea él mismo quien haga el trabajo. Los equipos que reconocen este patrón no se limitan a los enlaces de los correos electrónicos, sino que también se fijan en ese pequeño cuadrado de aspecto inocente.