Quishing: los riesgos del uso de códigos QR en entornos corporativos y cómo prevenir esta amenaza

El código QR se ha vueltotan común que se usa para pagar el menú, las compras en supermercados, en la panadería, pagos por internet, hasta el pasaje de la combi. Sin embargo, hay una amenaza de seguridad que sigue creciendo: quishing, o phishing basado en códigos QR.

Se trata de una manera de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y los riesgos de que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad.

Señala la firma de seguridad ESET que este código de barras bidimensional, o código QR (Quick Response) resulta atractivo para los actores de amenazas debido a uso habitual y generalizado.

Lo que hace el código QR es codificar URL, datos de pago, información de contacto y otros datos. Resulta útil para el atacante porque le permite ocultar elementos maliciosos.

“El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web. Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido, a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos.”, menciona Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026.

Para reducir significativamente el riesgo de phishing con códigos QR en una organización, es necesario alcanzar una combinación equilibrada de capacitación, procesos y tecnología. Por eso, la firma plantea las siguientes recomendaciones.

Primero, todo comienza por las personas. En el caso de una empresa se debe incluir el quishing en los programas de concientización sobre seguridad.

Eset plantea que los empleados eviten escanear códigos QR presentes en correos electrónicos no solicitados y que reporten cualquier mensaje sospechoso. Si creen que el mensaje proviene de una fuente confiable, deben verificarlo directamente con el remitente utilizando datos de contacto obtenidos por una vía distinta al correo recibido.

Otro nivel esta en los controles técnicos. Para minimizar el riesgo de que los mensajes de quishing lleguen a las bandejas de entrada, incorporar también una solución de seguridad móvil en los dispositivos de los empleados para bloquear el acceso a sitios maliciosos y otras amenazas. Asimismo, exigir autenticación multifactor resistente al phishing (phishing-resistant MFA) para todas las cuentas sensibles, de modo que, incluso si los usuarios son engañados, los adversarios no puedan obtener acceso a los sistemas corporativos. Las herramientas de administración de dispositivos móviles (MDM) pueden ayudar a garantizar que todos los dispositivos estén protegidos de acuerdo con las políticas de la empresa.

El cuidado también pasa por reducir la superficie de ataque. Es decir, aplicar el principio de mínimo privilegio y el acceso just in time. Mantener actualizados todos los sistemas operativos móviles y el software corporativo, incluidas las herramientas de seguridad. Además, realizar una supervisión continua para detectar actividades sospechosas y poner a prueba los planes de respuesta a incidentes para estar preparados ante el peor escenario.