Los códigos QR maliciosos están presentes en el 11 % de los correos de phishing

Los códigos QR se han abierto paso en nuestras vidas. Aparecen en los menús de los restaurantes, en la calle, en postes de alumbrado y en parquímetros, pero también en los mensajes que llegan por internet.

Estos código de barras bidimensionales permiten acceder rápidamente a un sitio web o aplicación para ofrecer información o incluso realizar pagos.

Su popularidad los ha vuelto atractivos para los ciberdelincuentes, que han decidido integrarlos en sus campañas de phishing. Esto da lugar al quishing o phishing basado en códigos QR que se generan con facilidad y que sustituyen a los enlaces tradicionales y los archivos adjuntos.

Como los criminales codifican en un patrón visual el destino al que quieren dirigir a los usuarios, en vez de mostrarlo como texto legible, pueden ocultar enlaces maliciosos y sortear algunos filtros de seguridad.

Así lo advierte el ESET Threat Report H1 2026, que desvela que los códigos QR maliciosos ya se encuentran presentes en un 11 % de todos los emails de phishing detectados.

“Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria”, identifica el investigador de seguridad informática Mario Micucci, “lo que genera una falsa sensación de confianza”.

Estos códigos “han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing”, profundiza.

“El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web”, señala Micucci.

“Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido“, advierte. Y es que basta “un dispositivo móvil potencialmente no gestionado” para eludir los controles corporativos.

Micucci comenta que “la familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing”.

“Cuando se combina con capacitación y concientización, la familiaridad también puede contribuir a fortalecer la seguridad“, termina.

Para evitar caer en la trampa, la firma aboga por combinar formación con mejoras en los procesos y la tecnología.

Lo primero será comenzar por las personas e incluir la técnica de quishing en los programas de sensibilización en materia de seguridad y en los ejercicios de simulación. La idea es que aprendan a diferenciar entre fuentes confiables y no confiables y que sigan protocolos de verificación antes de escanear los códigos QR que llegan por correo.

También hay que cubrir los controles técnicos e implementar herramientas de seguridad de correo electrónico que bloqueen el acceso a sitios maliciosos, incluyendo soluciones para dispositivos móviles.

Otras medidas recomendables pasan por la aplicación de autenticación multifactor resistente al phishing en todas las cuentas sensibles y el uso de herramientas de administración de dispositivos móviles.

Por último, aconseja reducir la superficie de ataque aplicando el principio de mínimo privilegio y dando ciertos permisos solo si se considera necesario.

Esto debe ir acompañado de unos sistemas actualizados, la supervisión continua en busca de actividades sospechosas y la puesta prueba de los planes de respuesta a incidentes.

(silicon.es)

Seguiremos brindándote más información sobre este tema en las siguientes presentaciones físicas y digitales de Channel News Perú

Mantente conectado a nuestra plataforma de negocios y revista, haciendo clic aquí y suscribiéndote a nuestro newsletter para contenido de valor diario