Phishing con códigos QR (quishing): cómo proteger a sus empleados y sus cuentas

El phishing con códigos QR, conocido como "quishing", esconde un enlace malicioso dentro de un código QR en lugar de un enlace en el que se hace clic. El código aparece en un correo, en un PDF adjunto, en una factura falsa o en una calcomanía pegada sobre el código real de un parquímetro o de un punto de pago, y quien lo escanea con el teléfono llega a una página falsa de inicio de sesión o de pago. Funciona porque el enlace es una imagen que muchos filtros de correo no estaban preparados para leer, y porque la víctima completa el ataque en su teléfono y no en la computadora protegida del trabajo. La solución combina reglas sencillas para los empleados, un filtrado de correo que lea códigos QR, protección en los teléfonos que acceden a datos de la empresa y una forma fácil de reportar lo sospechoso.

Cómo se ve el phishing con QR en la oficina

El FBI advierte sobre códigos QR manipulados desde su anuncio de servicio público de enero de 2022, en el que describió cómo los delincuentes reemplazan códigos legítimos, tanto digitales como físicos, por otros que llevan a sitios que piden datos de acceso e información financiera. La FTC publicó una alerta similar para consumidores en diciembre de 2023, en la que menciona estafadores que tapan los códigos de los parquímetros con los suyos y que envían códigos QR por correo y mensaje de texto.

En una oficina, los señuelos suelen parecer trabajo de rutina:

• "Su MFA está por vencer, escanee para registrarse de nuevo". Un mensaje que aparenta venir de IT o de Microsoft 365 pide escanear un código para mantener la cuenta activa.
• Avisos de documentos compartidos o mensajes de voz. "Tiene un nuevo archivo seguro" o "Mensaje de voz perdido, escanee para escucharlo", con el código como único enlace.
• Facturas y solicitudes de pago en PDF. Un PDF con un recuadro de "pague con QR" que desvía el pago a una cuenta controlada por los delincuentes.
• Mensajes de recursos humanos y beneficios. Inscripción abierta, cambios de nómina o una "nueva política para firmar".
• Calcomanías físicas. Una etiqueta sobre el código de un parquímetro, de una impresora compartida, de una credencial de conferencia o de la mesa de un restaurante cerca de la oficina.

Por qué logra evadir las defensas

Hay tres razones por las que el quishing funciona:

1. El enlace es una imagen. Un filtro tradicional busca URL en el texto. Un código QR es una imagen, así que las herramientas más antiguas pueden no ver el destino.
2. El ataque pasa al teléfono. En su alerta FLASH de enero de 2026 sobre el grupo norcoreano Kimsuky, el FBI explicó que obligar a la víctima a escanear con un dispositivo móvil evade los controles de seguridad del correo en la computadora de trabajo. Los teléfonos a menudo no tienen el mismo filtrado web y en una pantalla pequeña es más difícil notar una dirección falsa.
3. Puede burlar el MFA común. La misma alerta indica que el quishing con frecuencia termina en el robo y la reutilización de tokens de sesión. La página falsa retransmite el inicio de sesión real, incluido el código MFA, y se queda con la sesión resultante. Por eso un código por texto o por aplicación no protege por completo contra este tipo de página.

Reglas que cualquier empleado puede seguir

Las reglas cortas y concretas funcionan mejor que las charlas largas. Estas están adaptadas de las guías del FBI y la FTC:

1. No escanee códigos QR en correos, textos o PDF inesperados, sobre todo si dicen que algo es urgente. Trate un código QR en un correo exactamente igual que un enlace.
2. IT nunca le pedirá escanear un código para mantener activo su MFA o su contraseña. Ponga esa frase por escrito. Si recibe una solicitud así, repórtela.
3. Revise la dirección después de escanear y antes de tocarla. La mayoría de las cámaras muestran una vista previa del sitio. Si el dominio está mal escrito, es desconocido o es un acortador de enlaces, deténgase.
4. Nunca escriba su contraseña de trabajo ni su código MFA en una página a la que llegó por un código QR, a menos que esté seguro de que es legítima. Mejor abra la aplicación o escriba usted mismo la dirección conocida de la empresa.
5. No pague a través de un código QR en una factura o aviso de pago. Verifique la solicitud llamando a un número de teléfono que ya tenga registrado.
6. Observe los códigos físicos antes de escanearlos. Una calcomanía pegada sobre otro código es una señal de alerta.
7. No instale aplicaciones desde un código QR. Use la tienda oficial de aplicaciones y no descargue lectores de QR de terceros; la cámara integrada funciona.
8. Repórtelo. Use el botón de reporte de su cliente de correo o envíe una captura de pantalla a IT.

Si su equipo ya conoce las señales de phishing que todo empleado debe conocer, agregue una línea a esa lista: un código QR es un enlace y se aplican las mismas reglas.

Filtrado de correo que lee códigos QR

Asegúrese de que su protección de correo pueda leer las imágenes de un mensaje, no solo el texto. Algunos proveedores ya lo hacen. Microsoft, por ejemplo, ha descrito cómo Defender for Office 365 extrae las URL ocultas en imágenes de códigos QR al inicio del flujo de correo para analizarlas como cualquier otro enlace. Hágale tres preguntas a su proveedor o a su socio de IT:

• ¿Nuestro filtro extrae y revisa las URL de los códigos QR en el cuerpo del mensaje y en archivos adjuntos como los PDF?
• ¿Esas URL se vuelven a revisar cuando alguien las visita, no solo al momento de la entrega?
• ¿Podemos ver las detecciones de códigos QR en nuestros reportes?

Revise también lo básico: la protección contra phishing y suplantación, las configuraciones de seguridad de Microsoft 365 que toda pequeña empresa debe activar y las etiquetas de remitente externo, para que el personal note cuando un "mensaje de IT" en realidad vino de afuera.

Proteger los teléfonos que acceden a datos de la empresa

Como el ataque termina en un teléfono, el teléfono también necesita protección:

• Administre los dispositivos que acceden al correo y a los archivos de la empresa. Con Microsoft Intune u otra herramienta de administración de dispositivos móviles (MDM) puede exigir bloqueo de pantalla, un sistema operativo actualizado y, cuando esté disponible, protección contra amenazas móviles que revise los enlaces web. Para el personal que usa su propio teléfono, consulte nuestra guía de políticas BYOD con Intune.
• Mantenga actualizados el sistema operativo y el navegador de los teléfonos. La FTC lo incluye entre sus recomendaciones básicas.
• Use acceso condicional. Exija dispositivos administrados o que cumplan las políticas para acceder a los datos de la empresa, de modo que una contraseña robada no sea suficiente desde un teléfono desconocido.

MFA resistente al phishing: la solución más sólida

El FBI recomienda MFA resistente al phishing para el acceso remoto y los sistemas sensibles. Las passkeys y las llaves de seguridad FIDO2 están vinculadas al sitio web real, así que una página falsa a la que se llega por un código QR no puede usarlas. Si todavía no ha empezado, nuestra guía de autenticación multifactor para empresas explica las opciones, y la coincidencia de números en las aplicaciones de autenticación es un buen paso intermedio.

Haga que reportar sea fácil y sin juicios

La forma más rápida de enterarse de una ola de quishing es que un empleado la reporte. Active el botón de reporte integrado en Outlook o la opción de reporte en Gmail, explique qué pasa después de reportar y agradezca cada reporte, incluso cuando el mensaje resulte inofensivo. Si alguien escaneó un código e ingresó su contraseña, debe avisar a IT de inmediato; la respuesta correcta es cambiar la contraseña, revocar las sesiones activas y revisar los registros de inicio de sesión, no culpar a la persona.

Lista rápida de verificación

• Hoja de una página con las reglas sobre QR, en inglés y en español
• Declaración por escrito de que IT nunca pide escanear un código para MFA o contraseñas
• Filtrado de correo que lee códigos QR en el cuerpo y en los adjuntos
• Teléfonos administrados y actualizados para quien accede a datos de la empresa
• MFA resistente al phishing, empezando por administradores y acceso remoto
• Botón de reporte activado y un procedimiento claro de "lo escaneé, ¿y ahora qué?"

Los códigos QR son prácticos y llegaron para quedarse; el objetivo no es prohibirlos, sino tratarlos como cualquier otro enlace. Si desea ayuda para revisar su filtrado de correo, la administración de dispositivos móviles y la configuración de MFA, solicite una evaluación de IT gratuita. Core Florida IT trabaja con empresas en todo Miami-Dade y el sur de Florida, en inglés y en español.

Fuentes

• Cybercriminals Tampering with QR Codes to Steal Victim Funds (FBI IC3, I-011822-PSA)
• North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities (FBI FLASH, 8 de enero de 2026)
• Scammers hide harmful links in QR codes to steal your information (alerta para consumidores de la FTC)
• How Microsoft Defender for Office 365 innovated to address QR code phishing attacks (Microsoft Security Blog)
• More than a Password: autenticación multifactor (CISA)