ESET advierte sobre el crecimiento del quishing, el phishing con códigos QR

Los códigos QR maliciosos ya estaban presentes en el 11% de los correos de phishing detectados durante la primera mitad de 2026, según datos de la compañía. (Fuente: WeLiveSecurity (ESET))

Cuanto más familiar nos resulta algo, más probable es que dejemos de cuestionarlo, y en ciberseguridad esa naturalización puede ser especialmente peligrosa. Es el caso de los códigos QR, que pasaron de ser una novedad a convertirse en algo habitual en menús, postes de alumbrado, parquímetros y, cada vez más, en correos electrónicos corporativos. ESET advierte sobre el crecimiento del quishing, el phishing basado en códigos QR, como una forma de ocultar enlaces maliciosos y evadir filtros de seguridad tradicionales.

Un código QR es un código de barras bidimensional capaz de codificar URL, datos de pago, información de contacto y otros datos, lo que permite a los usuarios acceder rápidamente a un sitio web, una aplicación u otro recurso digital. El problema, según ESET, es que el cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio, y que un solo escaneo sin precaución puede generar un acceso no autorizado desde un entorno corporativo relativamente bien protegido hacia un dispositivo móvil personal con menos controles de seguridad, eludiendo así las defensas de la empresa.

Según el Reporte de Amenazas de ESET correspondiente al primer semestre de 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos de phishing detectados durante ese período. Para reducir significativamente este riesgo dentro de una organización, la compañía recomienda alcanzar una combinación equilibrada de capacitación, procesos y tecnología: promover que los empleados eviten escanear códigos QR de correos no solicitados, reportar cualquier mensaje sospechoso y verificar directamente con la fuente si creen que un mensaje proviene de un contacto confiable.

ESET también recomienda a las organizaciones reducir la superficie de ataque, aplicar el principio de mínimo privilegio y acceso just in time, mantener actualizados todos los sistemas operativos móviles y el software corporativo —incluidas las herramientas de seguridad— y realizar supervisión continua para detectar actividad sospechosa. Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica, concluyó que así como los empleados se acostumbraron a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden capacitarse para identificar las señales de advertencia de un posible intento de quishing.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.