¿Qué es el quishing? (phishing con códigos QR)
¿Qué es el quishing? (phishing con códigos QR)
Escrito por: Brenda Buckman
Publicado: 26/10/2026
El quishing es un tipo de ataque de phishing que usa códigos QR maliciosos para engañar a las personas y hacer que visiten sitios web peligrosos, descarguen malware o entreguen información sensible como contraseñas y números de tarjetas de crédito. El término combina código QR + phishing.
En lugar de hacer clic en un enlace sospechoso dentro de un correo, las víctimas escanean un código QR con su teléfono, algo que parece más seguro y que evade muchos filtros de seguridad tradicionales.
A medida que los códigos QR se vuelven comunes en la vida cotidiana (menús, parquímetros, inicios de sesión con MFA, etiquetas de envío, registros de eventos), los atacantes aprovechan la confianza que las personas depositan en ellos.
Una evolución sigilosa del phishing: el quishing (código QR + phishing) evade los filtros de seguridad tradicionales al ocultar URL maliciosas dentro de un código QR. Como muchos escáneres de correo y navegadores están diseñados para detectar enlaces de texto sospechosos y no imágenes, estos ataques suelen llegar directo a la bandeja de entrada del usuario o a un espacio físico.
Explotación de vulnerabilidades móviles: el ataque se apoya en que el escaneo suele ocurrir en dispositivos móviles, que muchas veces carecen de la protección de endpoints robusta o el monitoreo corporativo que sí tienen las computadoras de escritorio. Este cambio hacia lo móvil dificulta que los usuarios previsualicen las URL o que los equipos de TI intercepten la amenaza.
Ingeniería social de alta confianza: los atacantes aprovechan la familiaridad cotidiana con los códigos QR, como los que aparecen en menús de restaurantes, parquímetros y solicitudes de MFA, para engañar a las víctimas y hacer que visiten páginas de inicio de sesión falsas, descarguen malware o realicen pagos fraudulentos.
El phishing tradicional necesita que los usuarios hagan clic en enlaces. Pero las defensas modernas han mejorado:
Las herramientas de seguridad de correo escanean los enlaces antes de la entrega
Los navegadores advierten sobre dominios sospechosos
El security awareness training enseña a los usuarios a pasar el cursor sobre los enlaces
Los códigos QR evitan muchas de estas protecciones porque:
La URL real queda oculta hasta después de escanear
El escaneo ocurre en un dispositivo móvil, a menudo fuera de la protección corporativa
Los usuarios están entrenados para confiar en los códigos QR en espacios públicos
Esto convierte al quishing en el siguiente paso lógico en la ingeniería social.
Los empleados reciben un correo: "Tu sesión de Microsoft 365 expiró. Escanea para volver a autenticarte."
El código QR abre una página de inicio de sesión falsa y roba las credenciales.
Los atacantes colocan calcomanías sobre códigos QR legítimos en:
Parquímetros
Mesas de restaurantes
Carteles de eventos
Los usuarios escanean y terminan en páginas de phishing de pago.
Las víctimas reciben una carta o un correo que afirma una entrega perdida con un código QR para "reprogramar".
Se les dice a los empleados que escaneen un código para:
Instalar actualizaciones de seguridad
Verificar su dispositivo
Unirse a la VPN o al wifi
Esto puede derivar en la instalación de malware.
Quishing combina phishing + riesgo de dispositivos móviles + ingeniería social.
Los riesgos clave incluyen:
Robo de credenciales y toma de control de una cuenta
Fatiga de MFA e intentos de evasión
Instalación de malware o spyware móvil
Acceso a aplicaciones SaaS corporativas desde dispositivos no administrados
Los dispositivos móviles son especialmente vulnerables porque a menudo:
Carecen de protección de endpoint
Operan fuera del monitoreo corporativo
Confían automáticamente en los escaneos de códigos QR
Los ataques de quishing esconden enlaces maliciosos dentro de códigos QR y envían a las personas a páginas de inicio de sesión falsas, descargas de malware o sitios de robo de credenciales. Descarga el informe de amenazas 2026 State of Phishing para saber más.
Paso | Qué sucede | Por qué funciona |
1. Entrega | La víctima recibe un código QR por correo electrónico, cartel, carta o adhesivo | Los códigos QR se sienten inofensivos y familiares |
2. Escaneo | La víctima escanea el código con su teléfono | No hay un enlace visible para verificar de antemano |
3. Redirección | El teléfono abre un sitio malicioso | Los dispositivos móviles a menudo carecen de herramientas de seguridad |
4. Ingeniería social | Aparece una página falsa de inicio de sesión, pago o MFA | Se ve idéntica a los servicios de confianza |
5. Robo de datos o malware | Se roban credenciales o se instala malware | El ataque se completa sin levantar sospechas |
Señal de advertencia | Qué buscar |
Solicitud inesperada | No esperabas escanear nada |
Urgencia o miedo | Mensajes de "se requiere acción inmediata" |
Solicitud de inicio de sesión o pago | Los códigos QR rara vez necesitan credenciales |
Adhesivos públicos | Código QR colocado sobre otro código |
URL acortada o extraña | Abre un dominio sospechoso |
Nunca escanees códigos QR de correos o mensajes de texto inesperados
Previsualiza la URL antes de abrirla (muchos teléfonos te permiten hacer esto)
Evita escanear códigos de adhesivos en espacios públicos
Instala actualizaciones y herramientas de seguridad móvil
Usa administradores de contraseñas para detectar páginas de inicio de sesión falsas
Agrega capacitación sobre phishing con QR a los programas de concientización en seguridad
Implementa MFA resistente al phishing (FIDO2/passkeys)
Monitorea inicios de sesión móviles inusuales y eventos de viaje imposible
Usa acceso condicional y políticas de confianza de dispositivos
Bloquea dominios recién registrados y redirecciones sospechosas
Phishing tradicional | Quishing | |
Cómo llega a ti | Enlaces en correos electrónicos | Códigos QR |
Visibilidad de la URL | Se puede pasar el cursor para verificar | Oculta hasta que se escanea |
Dispositivo afectado | Computadora de escritorio/laptop | Dispositivos móviles |
Análisis de seguridad | A menudo analizado por herramientas | A menudo evade los escáneres |
Percepción del usuario | Creciente escepticismo | Mayor confianza |
El quishing funciona porque aprovecha la confianza humana y los puntos ciegos en los dispositivos móviles.
Los atacantes avanzan hacia técnicas que:
Evitan los filtros de correo electrónico
Atacan los sistemas de identidad y la MFA
Aprovechan las brechas en los dispositivos móviles
Los ataques de quishing seguirán creciendo mientras los códigos QR sigan integrados en los flujos de trabajo cotidianos.
Descargas de malware
Instalaciones de apps maliciosas
Páginas de robo de credenciales
El código QR en sí no es peligroso, ¡pero el sitio al que te lleva sí puede serlo!
Servicios financieros
Atención médica
Logística y envíos
Usuarios de SaaS y cloud
Equipos de TI
Tratar los códigos QR como enlaces
Verificar las solicitudes a través de canales confiables
Evitar escanear códigos de correos electrónicos o cartas
Recursos adicionales
Aprende cómo funciona el malware sin archivos, por qué es tan efectivo, y las estrategias esenciales para detectar y prevenir estos ciberataques basados en memoria.
Aprende los fundamentos de la seguridad en la nube de AWS (cloud), el modelo de responsabilidad compartida, funciones clave como el cifrado y IAM, además de las mejores prácticas para profesionales de ciberseguridad.
Descubre qué significa la transformación de la ciberseguridad, por qué es esencial para las organizaciones modernas y cómo implementar una estrategia de seguridad integral.
