¿Recuerdas el 2020? Escaneábamos códigos QR para todo. Menús de restaurantes. Parquímetros. Ese momento incómodo en una boda cuando alguien te pedía que escanearas un código en lugar de firmar el libro de visitas.
Nos pusimos cómodos. Quizás demasiado cómodos.
CyberHoot escribió sobre esta amenaza allá por 2019. Otros, como ProofPoint, publicaron más información a medida que aumentaban los ataques en octubre de 2023. ProofPoint detectó algo sospechoso: aparecían códigos QR en correos electrónicos de phishing, haciéndose pasar por mensajes de recursos humanos sobre nóminas. Al escanear el código, se solicitaba una contraseña y, a continuación, se perdía. Así de sencillo. Los expertos en seguridad advirtieron a todos, escribieron artículos en blogs y esperaban que la gente se diera cuenta.
Adelantándonos a enero de 2026, el FBI acaba de emitir nuevas advertencias sobre hackers norcoreanos que usan códigos QR para robar credenciales y distribuir malware. ¿Por qué? Porque todavía funcionan con algunas personas; ¡pero no con usted, ya no!
La cuestión es la siguiente: cuando escaneas un código QR en un correo electrónico desde tu ordenador del trabajo, el ataque se propaga a tu teléfono . ¿Y tu teléfono? Probablemente tenga mucha menos seguridad que tu portátil. Sin cortafuegos corporativo. Sin monitorización. Solo tú, la aplicación de tu cámara y una página web maliciosa que parece totalmente legítima.
Esta técnica a veces se denomina " Quishing " (QR + phishing), un nombre terrible pero un ataque efectivo.
¿La buena noticia? No se necesita un presupuesto enorme de seguridad para protegerse de esto. Solo se necesita la concienciación de todos y algunos hábitos inteligentes.
Consejo práctico : ¿Aprendes rápido? Ve directamente al resumen al final y luego vuelve para obtener más detalles cuando los necesites.
Un código QR es simplemente una URL oculta disfrazada.
Si no harías clic en un enlace aleatorio en un correo electrónico, tampoco escanees un código QR aleatorio. Mismo riesgo. Mismas reglas. Este cambio de mentalidad detiene la mayoría de los ataques QR. pistas puntos y lineas.
El phishing de códigos QR funciona porque primero escaneamos y luego pensamos. Al revés.
Antes de apuntar tu cámara hacia ese pequeño cuadrado, pregúntate:
¡Tres segundos de hacer preguntas inteligentes es la forma de formar hábitos cibernéticos seguros!
Probablemente tengas antivirus en tu ordenador del trabajo. ¿Y en tu teléfono?
La mayoría de los códigos QR se escanean con teléfonos, no con ordenadores portátiles. Si tu empresa ofrece software de seguridad móvil o gestión de dispositivos, instálalo. Si trabajas por tu cuenta, considera usar una aplicación de seguridad móvil de buena reputación.
Tu teléfono merece la misma protección que tu computadora, especialmente si lo usas para trabajar.
Una de las defensas más simples: hacer que tu teléfono te muestre a dónde conduce un código QR antes de abrir cualquier cosa.
Instrucciones para iPhones:
Al escanear un código QR con la app Cámara, iOS muestra un banner con la URL. No lo toques inmediatamente. Mantén presionado el banner para previsualizar el enlace. Observa el dominio. ¿Tiene sentido? ¿Es la empresa que esperabas?
También puedes desactivar la función " Texto en vivo " en Ajustes > General > Idioma y región . Esto evita el escaneo accidental de códigos QR en capturas de pantalla o fotos que te envíen.
Para Android:
La mayoría de los teléfonos Android ya muestran el destino antes de abrir el enlace. Asegúrate de que la opción " Abrir enlaces compatibles " esté desactivada en la configuración de Chrome para que no se abra nada automáticamente. Necesitas ese momento extra para revisar el enlace.
A los atacantes les encanta la urgencia. Desactiva el filtro del escepticismo.
Los temas más comunes de phishing de códigos QR incluyen:
Cuando ves urgencia más un código QR, esa es tu señal para reducir la velocidad, no para acelerar.
¿Necesitas restablecer tu contraseña? ¿Actualizar tu información de pago? ¿Cambiar la configuración de autenticación multifactor? Nunca escanees un código QR para estas acciones.
En lugar de eso, abre tu navegador, escribe la dirección del sitio web e inicia sesión a la antigua usanza. Tarda 15 segundos más. Además, hace que los códigos QR que roban credenciales sean completamente inútiles.
¿Ves la etiqueta "[EXTERNO]" al principio de algunos correos electrónicos de trabajo? Eso te indica que este mensaje vino de fuera de tu organización, básicamente, de alguien del ciberespacio.
Cuando veas ese banner y un código QR, piénsalo dos veces antes de escanearlo. Los correos electrónicos externos con códigos QR merecen mayor escepticismo. Esa pequeña advertencia está ahí para ayudarte. Úsala.
¿Recibiste un correo electrónico con un código QR de alguien que no conoces? ¿De una empresa con la que no trabajas? ¿Sobre un tema que parece extraño?
Confía en tu instinto. Bórralo.
Las empresas legítimas no envían información importante mediante un código QR en un correo electrónico. Si le parece extraño, probablemente no lo sea. En caso de duda, contacte directamente con la empresa a través de su sitio web oficial o su número de teléfono, no a través de ningún mensaje incluido en ese correo electrónico.
Si su empresa realiza simulacros de phishing, no se asuste al encontrar uno. Estas pruebas existen para ayudarle a reconocer patrones y practicar, no para avergonzar a nadie.
Si escaneas un código QR simulado por error, acabas de aprender algo valioso sin consecuencias reales. De eso se trata.
El objetivo es desarrollar tus instintos para que puedas detectar los ataques reales cuando lleguen.
¿Ves algo sospechoso? Di algo.
La mayoría de las empresas tienen una forma de reportar correos electrónicos sospechosos. Úsala. Cada vez que reportas un intento de phishing con código QR, no solo te proteges a ti mismo, sino también a todos los demás miembros de tu equipo.
No te preocupes por equivocarte. Los equipos de seguridad prefieren comprobar 100 falsas alarmas antes que pasar por alto un ataque real. Reportar correos electrónicos sospechosos nunca es una molestia. Es justo lo que quieren que hagas.
Los códigos QR no van a desaparecer. Ni tampoco los atacantes que los usan.
Pero aquí está la buena noticia: no necesitas un título en seguridad ni herramientas costosas para protegerte. Solo necesitas ir con calma, hacer preguntas y confiar en tu intuición.
La próxima vez que recibas un correo electrónico con un código QR, detente. Observa quién lo envió. Piensa si tiene sentido. Previsualiza el enlace antes de escanearlo.
Eso es todo. Esa es la defensa.
Eres más inteligente de lo que estos ataques te atribuyen. Aprovecha esos momentos extra para demostrarlo.
Elige una cosa de esta lista y comienza a hacerla hoy.
Quizás sea el hábito de "pausar y preguntar" antes de escanear. Quizás sea ajustar la configuración del teléfono para previsualizar primero los enlaces. Quizás simplemente sea convertirse en la persona que realmente lee ese banner [EXTERNO].
No necesitas hacerlo todo a la vez. Un solo hábito te hace más seguro hoy que ayer.
Y eso es algo que vale la pena comentar.
Descubra y comparta las últimas tendencias, consejos y mejores prácticas en ciberseguridad, junto con nuevas amenazas a las que debe prestar atención.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lo sabemos desde hace tiempo...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Un CAPTCHA debería comprobar si...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Tengo la suerte de tener...
LEER MÁSObtenga una visión más clara de los riesgos humanos, con un enfoque positivo que supera las pruebas de phishing tradicionales.
