Durante la pandemia los códigos QR (Quick Response) se volvieron parte de nuestra rutina. Escanear uno para ver el menú, conectarse al Wi-Fi o pagar el estacionamiento se transformó en un gesto automático, casi tan común como desbloquear el teléfono. Pero esa comodidad tan práctica como ingenua abrió una nueva puerta al cibercrimen.
Hoy, los ciberdelincuentes están usando esos mismos cuadraditos en blanco y negro para algo muy distinto: instalar malware, robar credenciales y redirigir a sitios falsos. A esta modalidad se le conoce como quishing (de QR phishing), y se ha convertido en uno de los ataques más silenciosos y difíciles de detectar.
La trampa no está en el código en sí, sino en nuestra confianza. Un enlace tradicional nos muestra a dónde apunta; un QR, no. Y ahí radica el peligro: la víctima no sabe qué está escaneando hasta que ya es demasiado tarde.
Qué es el Quishing y por qué está creciendo
El quishing consiste en engañar al usuario mediante un código QR que lo lleva a una página falsa o maliciosa. El código puede estar en cualquier parte: un póster, una factura, una mesa de restaurante o un aparcamiento. Nadie sospecha de un simple sticker y esa es justamente su fuerza.
Un estudio de Check Point Research (2024) reportó un aumento del 587% en los ataques con QR durante el último año. Los sectores más golpeados son el financiero, el hotelero y el educativo.
Los atacantes combinan ingeniería social con técnicas de spoofing, suplantando portales de pago o formularios corporativos para capturar credenciales y datos bancarios.
Un caso revelador ocurrió en EE. UU., donde se detectaron stickers falsos en parquímetros que imitaban plataformas legítimas como PayByPhone o ParkMobile. Miles de usuarios ingresaron sus datos bancarios sin saber que estaban alimentando bases de datos delictivas.
Por qué el quishing evade tantos controles
El éxito del quishing está en que los sistemas de defensa tradicionales no lo ven venir.
Los antivirus, los cortafuegos o los filtros de correo no pueden analizar un QR antes de que alguien lo escanee.
Y una vez que el enlace se abre en el navegador móvil, el ataque ya comenzó. Además:
- Los QR ocultan la URL destino hasta el momento del escaneo.
- Los navegadores móviles abren automáticamente los enlaces.
- Muchos sitios falsos usan certificados HTTPS válidos, imitando portales legítimos.
En entornos corporativos, el riesgo es aún mayor, empleados escanean códigos en conferencias, reuniones o tarjetas de presentación, conectando sin querer sus dispositivos a redes comprometidas.
El riesgo empresarial: del celular al servidor
Los códigos QR se han integrado profundamente en las operaciones de muchas empresas:
sirven para autenticar accesos, compartir documentos, validar identidades o conectar dispositivos IoT. Esa practicidad también los hace un blanco perfecto.
Una encuesta de Ivanti mostró que el 47% de los empleados ha escaneado un QR de origen desconocido, y un 19% reconoció haber introducido credenciales después. Un solo escaneo puede desencadenar una cadena de riesgos:
- Instalación de spyware o ransomware móvil.
- Robo de tokens o cookies de sesión.
- Captura de credenciales de VPN o correo corporativo.
- Interceptación de datos a través de Wi-Fi públicos.
En términos simples: un QR malicioso puede abrir la puerta desde el bolsillo de un empleado hasta los servidores más críticos de la empresa.
Cómo proteger a tu organización del quishing
La solución no es dejar de usar QR, sino usarlos con cabeza fría y políticas claras. La prevención, como siempre, empieza por las personas.
- Educar al usuario.
Incluir el quishing en las capacitaciones de phishing y concienciación digital.
Nadie debería escanear un código desconocido o fuera de contexto. - Aplicar el principio Zero Trust también en móviles.
Ningún enlace, ni siquiera interno, debe considerarse seguro por defecto. - Desactivar el escaneo automático.
Configurar los dispositivos para mostrar la URL antes de abrirla. - Verificar enlaces antes de acceder.
Herramientas como VirusTotal pueden analizar si el destino está asociado a campañas maliciosas. - Usar generadores internos seguros.
Para QR corporativos, emplear plataformas auditadas, no servicios públicos sin control. - Monitorear campañas activas.
Integrar la inteligencia de amenazas (Threat Intelligence) para detectar patrones de QR falsificados relacionados con la marca.
Casos recientes en Latinoamérica
En 2025, Kaspersky reportó un incremento de campañas de quishing en México, Argentina y Colombia. Los atacantes colocaban QR falsos en promociones, encuestas y hasta menús de restaurantes. El objetivo no era solo el consumidor común, sino recolectar tokens corporativos, accesos a SaaS y datos de empleados.
La tendencia demuestra que Latinoamérica se ha convertido en un terreno fértil para el fraude digital, impulsado por la alta adopción móvil y la baja cultura de verificación.
Conclusión: el QR como espejo del nuevo riesgo digital
El código QR nació para simplificar nuestra vida. Pero en un entorno donde los ciberdelincuentes explotan cada gesto cotidiano, la comodidad sin conciencia se convierte en vulnerabilidad.
El quishing no es una amenaza futurista: está ocurriendo ahora y la única defensa real no es técnica, sino educativa, aprender a mirar antes de escanear. Porque en ciberseguridad, los mayores riesgos ya no entran por la red… sino por la cámara del teléfono.
