ESET detectó que los códigos QR están presentes en el 11 % de los correos de phishing en el mundo (ESET Threat Report H1 2026), con fuerte presencia en México, España y EE. UU.
Durante el primer semestre de 2026, los códigos QR estuvieron involucrados en cerca del 11 % de las campañas globales de phishing monitoreadas por la firma de ciberseguridad ESET Latinoamérica, consolidando al «quishing» en el séptimo puesto de amenazas propagadas por correo electrónico con especial incidencia en México, Estados Unidos y España. Según explicó Jonathan Ramos, especialista de ESET, esta técnica de ingeniería social oculta direcciones fraudulentas en imágenes matriciales tanto digitales (como falsas notificaciones de DocuSign) como físicas (adhesivos sobrepuestos en comercios) con el fin de desviar a la víctima desde computadoras protegidas hacia teléfonos móviles vulnerables para sustraer credenciales bancarias o instalar malware; la compañía exhorta a revisar minuciosamente la URL de destino antes de pulsar aceptar, priorizar canales institucionales y mantener software de seguridad en los celulares.
La adopción generalizada de los códigos de respuesta rápida (QR codes) en menús de restaurantes, pasarelas de pago sin contacto, validación de facturas electrónicas y trámites corporativos ha simplificado la vida cotidiana, pero también abrió una brecha crítica para el cibercrimen. Al amparo de la familiaridad que los usuarios sienten hacia estos gráficos matriciales, los atacantes han sofisticado la ingeniería social mediante el denominado «quishing» —fusión de QR y phishing—, una modalidad fraudulenta que oculta direcciones web maliciosas dentro de patrones visuales de módulos blancos y negros imposibles de descifrar a simple vista.
De acuerdo con el informe de inteligencia ESET Threat Report H1 2026, desarrollado por la firma global de detección proactiva de amenazas ESET Latinoamérica, los códigos QR maliciosos estuvieron presentes en aproximadamente el 11 % de los correos electrónicos de phishing analizados a nivel mundial durante el primer semestre, ubicándose en el séptimo lugar entre las principales amenazas distribuidas por correo electrónico. Los países con mayor concentración de detecciones globales fueron Estados Unidos (19 %), España (17 %) y México (6 %), nación que lidera con fuerza la incidencia en la región latinoamericana.
Anatomía del quishing: Del entorno corporativo blindado al celular vulnerable 🏢🔄📱
A diferencia de los engaños digitales convencionales —donde un hipervínculo de texto (URL) puede leerse, inspeccionarse, contrastarse y generar sospecha inmediata—, el código QR funciona como una «caja negra» visual. La trampa opera a través de dos vectores fundamentales:
- Canal digital: El código malicioso se inserta en el cuerpo de un correo electrónico empresarial, dentro de un documento PDF adjunto, en cadenas de mensajería instantánea por WhatsApp o SMS, o publicado en perfiles simulados de redes sociales.
- Canal físico: Códigos impresos en volantes publicitarios callejeros, recibos falsos dejados en parabrisas de vehículos, paquetería de encomiendas o la técnica del tampering, consistente en pegar calcomanías fraudulentas directamente encima de códigos QR legítimos en parquímetros, comercios y mesas de restaurantes.
«Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad. De hecho, el ESET Threat Report H1 2026 destaca que los atacantes utilizan códigos QR para desplazar la interacción hacia dispositivos móviles y dificultar una inspección rápida de los enlaces maliciosos» advirtió Jonathan Ramos, investigador de seguridad informática de ESET Latinoamérica.
El caso DocuSign y el abanico de riesgos en el smartphone 📑⚠️💸
Uno de los ejemplos de ataque documentados por ESET en América Latina involucra la suplantación visual de DocuSign, la plataforma de firma electrónica utilizada ampliamente por corporaciones y firmas legales:
- Mecánica del engaño: Los atacantes envían una notificación con los logotipos y colores institucionales de la firma anunciando que un documento requiere firma urgente. En lugar de incluir enlaces tradicionales, presentan un botón falso que no ejecuta acción y obliga al usuario a apuntar la cámara del teléfono móvil al código QR para continuar.
- Contenido mínimo, evasión máxima: Al contener escaso texto y ningún enlace textual expuesto, el mensaje evade los filtros tradicionales de spam de los servidores de correo electrónico corporativo.
- Consecuencias directas tras el escaneo: Una vez que la víctima escanea el código en su celular, puede sufrir el robo de credenciales corporativas o bancarias mediante portales clonados, caer en pantallas de transferencias monetarias no autorizadas con datos preconfigurados o autorizar inadvertidamente la descarga e instalación de archivos APK maliciosos (malware) fuera de las tiendas oficiales de aplicaciones.
Detección temprana y protocolo de blindaje personal 🔍🛡️✅
Para mitigar el riesgo de caer en estafas de quishing en entornos profesionales y personales, el equipo de investigación de ESET sistematizó una serie de señales de alerta y hábitos de higiene digital:
- Banderas rojas (red flags):
- Pegatinas o adhesivos montados sobre señalización o menús existentes.
- Mensajes no solicitados que apelan a la urgencia extrema, multas inminentes o suspensión de cuentas.
- Sitios web cuyo dominio en la barra de navegación difiera del nombre de la entidad oficial.
- Exigencia de instalar ejecutables o aplicaciones desconocidas para «ver un comprobante o firmar».
- Solicitudes intempestivas de claves, PIN bancario o códigos de verificación por SMS/WhatsApp.
- Recomendaciones preventivas:
- Pausar antes de ingresar: Utilizar lectores de QR que previsualicen la dirección web completa antes de redirigir al navegador.
- Teclear manualmente las direcciones: Ante notificaciones de facturas, paquetes retenidos o banca, ingresar por la aplicación oficial o escribir la dirección en el navegador web.
- Proteger el teléfono móvil: Mantener los sistemas operativos actualizados e incorporar soluciones antivirus activas en los dispositivos móviles corporativos y personales.
«El crecimiento del quishing demuestra cómo los ciberdelincuentes adaptan técnicas conocidas a los hábitos digitales de los usuarios. A medida que los códigos QR se incorporan a más actividades cotidianas, también aumentan las oportunidades para que sean utilizados como vehículo de fraude. Esta modalidad se consolida como una amenaza que merece cada vez más atención por parte de usuarios y organizaciones» concluyó Ramos.
Para saber más sobre seguridad informática visite el portal corporativo de ESET o escuche Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a Spotify
Acerca de
ESET® proporciona seguridad digital de vanguardia para prevenir ataques antes de que ocurran. Al combinar el poder de la IA y la experiencia humana, ESET® se anticipa a las ciberamenazas conocidas y emergentes, asegurando empresas, infraestructuras críticas e individuos. Ya sea protección de endpoints, nube o dispositivos móviles, sus soluciones y servicios nativos de IA y basados en la nube son altamente efectivos y fáciles de usar. La tecnología de ESET incluye detección y respuesta sólidas, cifrado ultraseguro y autenticación multifactor. Con defensa en tiempo real las 24 horas, los 7 días de la semana y un sólido soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios. Para obtener más información, visite https://www.eset.com/latam o síganos en LinkedIn, Facebook y Twitter.
