Quishing: el phishing por código QR que se cuela en facturas y menús

El código QR como vector de ataque

Los códigos QR se volvieron omnipresentes durante la pandemia —cartas de restaurante, accesos a wifi, pagos sin contacto— y esa normalización es exactamente lo que los atacantes están explotando. El quishing (de "QR" + "phishing") consiste en incrustar un enlace malicioso dentro de un código QR en lugar de un enlace de texto tradicional, y confiar en que la víctima lo escanee sin pensarlo dos veces.

La razón por la que este vector ha crecido con tanta fuerza es técnica, no solo social: la mayoría de las pasarelas de seguridad de correo electrónico analizan enlaces de texto, adjuntos y remitentes, pero no siempre extraen y analizan el contenido de una imagen incrustada. Un correo con un QR puede pasar filtros diseñados para detectar URLs sospechosas simplemente porque el enlace nunca aparece como texto.

Los formatos más habituales

• Correos de "verificación de cuenta" o "actualización de contraseña" que piden escanear un QR en lugar de pulsar un enlace, apelando a que "es más seguro".
• Facturas o avisos de pago que incluyen un QR para "consultar el detalle" o "regularizar un impago", redirigiendo a una página de phishing bancario.
• Códigos QR físicos falsos pegados encima de los legítimos en parquímetros, carteles publicitarios o mesas de restaurantes.
• PDFs adjuntos con un QR en lugar de un enlace de texto, para evadir el análisis automático de contenido del propio documento.

Por qué es especialmente eficaz en el entorno corporativo

El quishing añade una capa de riesgo específica en la empresa: cuando el usuario escanea el QR con su teléfono personal, el ataque se produce fuera del perímetro de seguridad corporativo —fuera del EDR, del proxy web, del filtrado DNS— justo en el dispositivo con menos controles y, muy a menudo, con sesión activa en el correo corporativo o en aplicaciones de la empresa.

Esto convierte al quishing en una vía habitual para el robo de credenciales corporativas incluso en organizaciones con controles técnicos de correo muy maduros, porque el ataque se traslada deliberadamente al dispositivo móvil.

Cómo detectarlo

• Desconfiar de cualquier comunicación que solicite escanear un QR para "verificar", "actualizar" o "confirmar" una cuenta o un pago.
• Antes de escanear, comprobar en la vista previa del lector de QR a qué dominio redirige realmente el enlace, sin abrirlo directamente.
• En códigos físicos, revisar si hay un adhesivo superpuesto sobre el QR original.
• Aplicar la misma regla que con cualquier enlace: si genera urgencia ("tu cuenta se bloqueará en 24h"), sospechar por defecto.

Controles a nivel organizativo

Más allá de la concienciación individual, hay medidas que reducen el impacto del quishing como vector de acceso inicial:

• MFA resistente a phishing (claves de seguridad FIDO2, passkeys) en lugar de solo un código enviado por SMS o app, ya que muchos kits de quishing incluyen ya la interceptación de códigos de un solo uso.
• Gestión de dispositivos móviles (MDM) que permita separar el perfil corporativo del personal y aplicar políticas de seguridad al primero.
• Formación específica sobre quishing dentro de los programas de concienciación (mp.per.3 ENS; 6.3 ISO 27001), que hasta hace poco se centraban casi exclusivamente en enlaces de texto.
• Simulacros con QR, no solo con enlaces tradicionales, para medir la exposición real del equipo a este vector concreto.

Un vector que llegó para quedarse

El quishing no sustituye al phishing tradicional, lo complementa: los atacantes eligen el formato según qué filtro quieren evitar. Cualquier programa de concienciación que siga centrado solo en "no pinches enlaces sospechosos" sin mencionar los códigos QR está dejando fuera uno de los vectores de entrada con más crecimiento de los últimos años.