- Quishing es el phishing que esconde enlaces maliciosos en códigos QR, un formato que impide ver la URL antes de escanear.
- Microsoft detectó 18,7 millones de ataques en marzo de 2026 frente a 7,6 millones en enero, un aumento del 146 % en tres meses.
- El 70 % de los PDF maliciosos analizados por Barracuda incluía QR fraudulentos, y el 56 % de los documentos de Microsoft 365 también contenía quishing.
- Las empresas y los usuarios deben verificar por canales independientes, reforzar el móvil y usar MFA resistente al phishing.
Los códigos QR llevan años instalados en nuestra vida diaria: sirven para leer la carta de un bar, abonar el aparcamiento, conectarse a la wifi de un hotel, descargar una entrada o consultar información turística. Esa costumbre, tan cómoda como normalizada, ha abierto la puerta a una variedad de fraude que los expertos llaman quishing: el phishing que utiliza estos cuadrados en lugar de un enlace escrito.
La voz de alarma no es nueva, pero los números la han vuelto más urgente. Microsoft detectó 18,7 millones de ataques de quishing en marzo frente a los 7,6 millones de enero, lo que supone un crecimiento del 146 % en apenas tres meses. En paralelo, ESET calcula que en el primer semestre el 11 % de los correos de phishing analizados ya incluían códigos QR. Hablamos, por tanto, de un problema que ha dejado de ser anecdótico.
Qué es el quishing y por qué crece con tanta rapidez
La clave de su eficacia está en lo que no se ve. A diferencia de un enlace convencional, un código QR oculta la dirección de destino hasta que se escanea, de modo que la víctima no puede comprobar si apunta a una web legítima o a una página fraudulenta con códigos QR. Andrés Cartes Guilarte, de Áudea, la unidad de ciberseguridad de Logicalis Spain, ha explicado que esa opacidad es precisamente una de las ventajas que buscan los atacantes.
Además, el escaneo suele hacerse con el móvil. Eso traslada la interacción fuera del ordenador corporativo y, en muchos casos, fuera de los controles de seguridad de la organización. El usuario acaba en portales falsos que imitan servicios corporativos, bancos o pantallas de autenticación para robar credenciales, datos personales o información financiera.
Los registros de Microsoft sitúan el quishing como el vector de ataque que más rápido ha crecido en el periodo analizado. Junto a los 18,7 millones de intentos de marzo, la compañía identificó unos 8.300 millones de amenazas de phishing distribuidas por correo electrónico, una cifra que ayuda a entender la escala del fenómeno.
El informe Email Threats Report 2026 de Barracuda aporta otra pista sobre cómo se distribuye. El 70 % de los PDF maliciosos analizados incluía códigos QR que dirigían a páginas de phishing; el 56 % de los documentos dañinos de Microsoft 365 también incorporaba quishing, y los códigos insertados en el cuerpo de los correos aumentaron un 336 % en marzo de 2026.
Desde ESET añaden que las técnicas se están sofisticando. Ya no solo se busca robar usuario y contraseña: las campañas intentan hacerse con tokens de autenticación multifactor, instalar malware, lograr que la víctima descargue aplicaciones maliciosas o aprovechar aplicaciones legítimas del teléfono como parte del engaño. Josep Albors, responsable de Investigación y Concienciación de ESET España, señala que los atacantes pueden camuflar aún más los códigos dentro de archivos PDF, imágenes JPEG u otros documentos, o recurrir a acortadores de URL antes de generarlos.
Del correo corporativo al restaurante: riesgos reales y defensa
En el ámbito laboral, el quishing ha encontrado un terreno abonado. Un empleado puede recibir en su equipo de la empresa un mensaje que simula proceder de un servicio conocido, un banco o una empresa y que le pide revisar un documento o confirmar su identidad. Si escanea el código QR con su móvil personal, el ataque salta de un ordenador protegido a un teléfono que quizá no cuenta con las mismas barreras.
El riesgo no se queda en la pantalla. INCIBE recogió en agosto un caso ocurrido en España: una usuaria escaneó el código QR de la carta de un restaurante y, tras aceptar una ventana emergente, activó una suscripción premium no solicitada. Otros clientes del mismo establecimiento vivieron situaciones parecidas, según el ejemplo difundido por Logicalis.
La popularidad de estos códigos en el mundo físico explica que el problema se multiplique. Alrededor del 75 % de los restaurantes de todo el mundo ya utilizan QR para sus menús digitales, una práctica que también se ha extendido a parquímetros y multas falsas, comercios, transportes y servicios turísticos. En todos esos contextos, el usuario no puede comprobar antes de escanear qué página va a encontrarse.
Ante este panorama, las recomendaciones inciden en combinar formación y tecnología. Los especialistas aconsejan verificar cualquier petición por un canal independiente, evitar escanear códigos recibidos en correos no solicitados y reportar los mensajes sospechosos. En las empresas, las simulaciones de phishing deberían incluir también códigos QR para que la plantilla se familiarice con esta amenaza.
La protección técnica pasa por analizar los códigos QR que llegan por correo, exigir autenticación multifactor resistente al phishing, gestionar los móviles corporativos con sistemas MDM, aplicar el principio de mínimo privilegio y el acceso just in time, mantener actualizados sistemas y aplicaciones, y vigilar comportamientos anómalos. También conviene probar los planes de respuesta a incidentes para saber cómo actuar si un ataque logra colarse.
- Antes de escanear, usa la vista previa del enlace si tu cámara o app de seguridad la ofrece y desconfía de códigos pegados sobre otros en espacios públicos.
- Si recibes un QR por correo, no lo abras ni lo escanees sin comprobar antes con el remitente por otro medio; tampoco introduzcas contraseñas en páginas a las que hayas llegado así.
- En el entorno laboral, la formación, las simulaciones con QR, el MFA resistente al phishing y la gestión de dispositivos móviles reducen la superficie de ataque.
El quishing se apoya en una herramienta cotidiana y en la confianza que despierta: un código QR que promete un menú, un pago o un documento y que, en realidad, puede esconder una web fraudulenta. Los datos de Microsoft, ESET y Barracuda coinciden en que la amenaza crece, mientras que casos como el de INCIBE demuestran que también afecta al mundo físico. La prevención pasa por desconfiar de lo inesperado, verificar por otra vía y reforzar la seguridad del móvil, sin dar por hecho que escanear un cuadrado es siempre inocuo.
Editor profesional de Tecnología y Software