El «quishing» mediante códigos QR consiste en manipular un código QR para redirigir a un empleado a una página falsa de inicio de sesión, pago o descarga. Para una pyme, la cuestión afecta sobre todo a la gestión del riesgo: el ataque a veces elude los filtros de correo electrónicos habituales, se traslada al móvil personal y suele tener como objetivo las credenciales de Microsoft 365. La respuesta adecuada combina procedimientos sencillos, protección del correo electrónico, una autenticación multifactorial (MFA) sólida y una breve campaña de sensibilización.
¿Qué es el «quishing» con códigos QR?
La ANSSI define en 2024 el «quishing» como «estafa mediante códigos de respuesta rápida»: un código QR redirige a la víctima a un recurso malicioso, por ejemplo, una página web falsa o un programa con malware. En pocas palabras, se trata de phishing, pero con un paso visual que a menudo oculta la dirección real.
El caso más habitual es sencillo. Un colaborador recibe un correo electrónico con un código QR en el cuerpo del mensaje, en una imagen o en un archivo adjunto PDF. Lo escanea con su teléfono, accede a una página que se parece a Microsoft 365, La Poste, una plataforma de pago o una tienda interna, y luego introduce sus datos de acceso.
Cybermalveillance.gouv.fr ya señalaba en 2023 la aparición habitual de códigos QR falsos en la actualidad francesa: multas falsas, avisos de entrega falsos de La Poste, códigos falsos pegados en horodadores o bornes de recarga, y confirmaciones falsas de Office 365. En 2024, el fenómeno seguía siendo encore marginal en Francia en comparación con el phishing clásico, pero este detalle no debe dar tort tranquilidad. Un ataque aislado puede ser suficiente si afecta a contabilidad, a la dirección o a un administrador.
Las cifras recientes muestran una aceleración en el ámbito del correo electrónico. Microsoft Threat Intelligence ha señalado que, en el primer trimestre de 2026, el phishing mediante códigos QR pasó de unos 7,6 millones de amenazas en enero a 18,7 millones en marzo, lo que supone un aumento del 146 %. A escala mundial, Microsoft afirmó haber detectado alrededor de 8.300 millones de amenazas de phishing por correo electrónico durante ese periodo.
¿Por qué los códigos QR atraen más la atención que un enlace convencional?
Un enlace fraudulento se nota. No siempre, pero sí con bastante frecuencia: nombre de dominio Extraño, error en la URL, extensión poco habitual. Un código QR, en cambio, lo resume todo en una imagen. Mientras el teléfono no muestre claramente la dirección, el empleado no puede valorarlo.
Otra dificultad: el paso del puesto de trabajo al dispositivo móvil. Barracuda señala en 2026 que el escaneo a menudo desplaza el ataque hacia un dispositivo móvil, a veces fuera del perímetro de seguridad de la empresa. Si el empleado utiliza su propio smartphone, sin protección móvil ni gestión centralizada, la empresa pierde parte de su visibilidad.
La trampa resulta especialmente eficaz con Microsoft 365. Los atacantes imitan el aspecto de una página de inicio de sesión y, a continuación, obtienen el nombre de usuario, la contraseña y, en ocasiones, el código MFA (autenticación multifactorial, el segundo factor de inicio de sesión). Si el dispositivo de MFA es vulnerable a ataques de tipo «adversary-in-the-middle» —es decir, un sitio web falso situado entre el usuario y el servicio auténtico—, el código temporal puede ser interceptado.
En los proyectos que llevamos a cabo, a menudo observamos una deficiencia organizativa más que técnica: nadie sabe realmente quién debe validar un código QR añadido a una factura en PDF, a un cartel en una tienda o a un correo electrónico de marketing. Esa falta de claridad es suficiente. El código QR se convierte en un punto de encuentro entre la comunicación, la informática y los departamentos funcionales.
Ejemplos concretos en empresas francesas
Primer caso frecuente: la falsa notificación de Microsoft 365. El mensaje anuncia una verificación de seguridad, la caducidad de una contraseña o una validación de acceso. El código QR lleva a una página que imita el diseño visual de Microsoft. El colaborador, con prisa, lo escanea con su móvil y se conecta.
Segundo caso: la factura o el albarán en formato PDF. El código QR parece permitir consultar los detalles, pagar o confirmar la recepción. Resulta creíble, ya que las facturas, los menús, las tarjetas de visitante y los formularios administrativos ya utilizan códigos QR. El peligro radica precisamente en esa banalidad.
Tercer caso: la señalización física. Una pegatina fraudulenta puede cubrir un código QR legítimo en una borne, un mostrador, un cartel de un evento o un aparcamiento. Para una empresa que atiende al público, el riesgo también afecta a la imagen de marca: un cliente que caiga en la trampa asociará el incidente con el lugar donde escaneó el código.
Por último, hay un caso más discreto: el código QR en una campaña interna. Inscripción a un seminario, encuesta de RR. HH., acceso a la red Wi-Fi para invitados. Si los empleados nunca han aprendido a comprobar el dominio antes de abrirlo, una campaña falsa puede resultar muy convincente.
Cómo comprobar un código QR sin ser un experto en tecnología
La regla más útil se resume en una frase: trata un código QR como si fuera un enlace. Un código QR no es más seguro por el hecho de estar impreso, tener un diseño atractivo o aparecer en un documento que se parezca a una factura. Requiere los mismos controles que una URL recibida por correo electrónico.
- Fíjate en la dirección que aparece antes de abrirla: el dominio debe coincidir exactamente con el servicio esperado, por ejemplo, microsoft.com y no una variante más larga.
- Evita escanear un código QR inesperado que hayas recibido por correo electrónico, sobre todo si te pide que inicies sesión en Microsoft 365, que realices un pago o que facilites datos bancarios.
- En caso de duda, accede directamente a la página web oficial o a la aplicación oficial en lugar de utilizar el código QR.
- En un soporte público, comprueba que no se haya pegado ninguna pegatina sobre el código de la máquina.
- Informa al responsable interno sobre el mensaje, en lugar de borrarlo solo para ti.
Este último punto es muy importante. Una notificación rápida permite bloquear una campaña antes de que llegue al departamento financiero o a los equipos comerciales. Para regular este procedimiento, a menudo basta con una breve nota interna: qué hay que notificar, a quién y con qué captura de pantalla.
El mismo razonamiento se aplica a tus propios productos digitales. Si tu aplicación móvil o tu área de clientes utiliza códigos QR para iniciar sesión en una cuenta, iniciar un pago o recuperar datos, la seguridad no debe añadirse al final del proyecto. Los riesgos relacionados con las comunicaciones entre el móvil y el servidor coinciden con los descritos en un enfoque de seguridad de las API móviles.
¿Qué medidas de protección debe adoptar la empresa?
La primera línea de defensa sigue siendo el correo electrónico. Las pasarelas de seguridad modernas deben ser capaces de analizar imágenes y archivos adjuntos, descodificar códigos QR y, a continuación, verificar la URL obtenida. Microsoft documenta, entre otros, controles como el análisis de códigos QR, la reescritura de URL y el sandboxing, es decir, la apertura controlada de un enlace en un entorno aislado.
Sin embargo, hay que tener cuidado de no esperar que un filtro lo resuelva todo. Algunos códigos QR están integrados en archivos PDF, otros están ofuscados, acortados o diseñados para redirigir la acción a un dispositivo móvil. Sinceramente, una pyme que se conforma con un servicio de correo electrónico «incluido» sin una política de seguridad contrastada está asumiendo un riesgo evitable, sobre todo si utiliza ampliamente Microsoft 365.
| Medida | Lo que reduce | Orden de costes en Francia | Plazo realista |
|---|---|---|---|
| Configuración de renforcé en Microsoft 365 o Google Workspace | Usurpación, enlaces sospechosos, normas poco estrictas | Entre 800 y 2 500 €, dependiendo del tamaño y de la auditoría inicial | 2 à 5 jours |
| Pasarela de correo electrónico con análisis de códigos QR y PDF | Códigos QR en correos electrónicos y archivos adjuntos | A menudo, entre 3 y 8 € por usuario al mes, según el proveedor | 1 a 3 semanas |
| Autenticación multifactorial (MFA) resistente al phishing, entre las que se incluyen passkeys | Robo de datos de acceso e interceptación de códigos | Varía en función de las licencias; el proyecto suele partir de 2.000 € | 2 a 6 semanas |
| Sensibilización mediante simulaciones breves | Escaneos espontáneos, ausencia de alertas | Entre 1 000 y 5 000 € por campaña para pymes | 2 à 4 semanas |
| Protección móvil o MDM ligero | Pérdida de visibilidad en los smartphones | Normalmente, entre 4 y 12 € por dispositivo y al mes | 2 a 8 semanas |
Estas cantidades son valores orientativos del mercado francés, no tarifas universales. El coste depende del número de usuarios, de las licencias ya existentes, del historial de configuración y del nivel de restricciones del negocio. Con este presupuesto, es mejor dar prioridad a las cuentas sensibles antes de buscar una cobertura perfecta.
La MFA merece un análisis aparte. Los códigos SMS o los códigos temporales en una aplicación protegen mejor que una simple contraseña, pero no siempre son inmunes a los ataques de suplantación de identidad. Las claves de acceso, basadas en una clave criptográfica vinculada al dominio, reducen considerablemente este riesgo; el tema se trata en detalle para los sitios web en esta guía sobre las Las claves de acceso como alternativa a las contraseñas y, en lo que respecta a los móviles, en este análisis de los claves de acceso integradas en las aplicaciones.
La trampa presupuestaria: comprar una herramienta sin cambiar los hábitos de uso
Una herramienta de seguridad que detecta códigos QR maliciosos resulta útil. Pero no cubre un código QR pegado en un vestíbulo, enviado por SMS a un comercial o impreso en una factura falsa entregada en recepción. Por lo tanto, el «quishing» (phishing mediante códigos QR) obliga a alejarse de una visión centrada exclusivamente en el correo electrónico.
El nivel adecuado de respuesta depende de tu exposición. Una empresa B2B de 20 personas con pocos pagos en línea no tiene las mismas necesidades que una red de puntos de venta, una plataforma SaaS o una empresa que trata datos sensibles según el RGPD, aplicable desde 2018. La cuestión no es «¿qué herramienta comprar?», sino «¿qué situaciones pueden resultar costosas?».
Por parte de la agencia, lo habitual es identificar los códigos QR legítimos antes de hablar de soluciones: materiales impresos, correos electrónicos transaccionales, aplicaciones móviles, tarjetas de identificación, facturas, eventos. A veces nos encontramos con códigos creados hace tres años que redirigen a una página que ya no se mantiene, a un antiguo acortador de URL o a un dominio que podría caducar. La típica sorpresa desagradable.
Si desarrollas una aplicación, comprueba también que la lectura de un código QR no active ninguna acción sensible sin confirmación previa: inicio de sesión, añadir un medio de pago, recuperar un documento o realizar una llamada a la API. Una revisión previa a la publicación, similar a una Lista de comprobación de seguridad de aplicaciones móviles, evita costosas medidas correctivas tras un incidente.
Plan de acción práctico para los próximos 30 días
Empieza por las cuentas con mayor impacto: dirección, finanzas, RR. HH., administradores de Microsoft 365 y equipos de soporte. Activa o comprueba la autenticación multifactorial (MFA), elimina las reglas de reenvío sospechosas, comprueba los dominios autorizados y comprueba si tu servicio de correo electrónico es capaz de analizar un código QR en un PDF.
A continuación, elabora una norma interna breve. No un manual de 18 páginas. Una sola página: no escanear un código QR inesperado, comprobar el dominio, utilizar la aplicación oficial en caso de duda y notificarlo al canal previsto. Haz que la revise alguien sin conocimientos técnicos; si no la entiende, no se aplicará.
Tercer paso: haz una prueba. Una simulación razonable, presentada como un ejercicio de seguridad pero sin humillaciones individuales, da mejores resultados que un discurso que genere ansiedad. El objetivo es medir la tasa de notificación, no tender una trampa a los empleados.
Por último, vigila tus propios códigos QR públicos. Regístralos, anota su destino, su propietario interno y la fecha prevista de retirada. A veces, un código QR impreso dura más que la página web a la que remite.
Identificar este tipo de riesgos desde el principio evita la mayoría de las sorpresas desagradables: elección del método de autenticación, configuración del correo electrónico, experiencia móvil, documentos impresos. Una perspectiva externa ayuda sobre todo a priorizar lo que merece una inversión ahora mismo y lo que puede esperar sin poner en riesgo a la empresa.
Preguntas frecuentes sobre el «quishing» y los códigos QR trampa
¿Es el «quishing» más peligroso que el phishing clásico?
No siempre es más peligroso, pero resulta más engañoso en determinados contextos. El código QR oculta la URL y, a menudo, redirige al usuario a su teléfono, que en ocasiones está menos protegido que su ordenador del trabajo.
¿Cómo se reconoce un código QR fraudulento?
Un código QR fraudulento se detecta sobre todo por el contexto en el que aparece: una solicitud inesperada, una urgencia, un pago, un inicio de sesión en Microsoft 365 o un enlace público «support» modificado. Antes de abrirlo, comprueba el dominio que aparece y accede a través de la página web oficial si te queda la más mínima duda.
¿Ofrece Microsoft 365 protección automática contra el «quishing»?
No ocurre automáticamente en todas las configuraciones. Existen ciertas medidas de protección en función de las licencias y los ajustes, pero hay que comprobar el análisis de imágenes, archivos PDF y URL, así como la solidez de la autenticación multifactorial (MFA).
¿Deberían prohibirse los códigos QR en las empresas?
No, eso rara vez sería realista. Es mejor regular su creación, inventar los códigos QR públicos, formar a los equipos y bloquear los usos de riesgo, como las conexiones sensibles a partir de un código no verificado.