Cómo prevenir las estafas de quishing o con códigos QR

¿Puedes ser víctima de un ataque al escanear un código QR?

Comprender el panorama completo de las amenazas de los códigos QR te ayuda a reconocerlas antes de convertirte en una víctima. Estos son los patrones de ataque más comunes en 2025.

El truco de la pegatina falsa

El método físico más extendido consiste en pegatinas con códigos QR falsos colocadas directamente sobre códigos legítimos: en parquímetros, mesas de restaurantes, señales de tráfico o expositores de tiendas. Crees que estás abriendo un enlace a un mapa o pagando en un terminal de pago. En realidad, los datos de tu tarjeta van directamente al portal falso de un estafador. Una rápida inspección física —comprobar si el código está plano o parece que tiene una capa superpuesta— puede salvarte por completo de esta estafa.

Quishing a través del correo electrónico y las herramientas de Office

Dado que la gente suele escanear los códigos QR con sus teléfonos, las URL incrustadas eluden las herramientas de seguridad de escritorio, como los cortafuegos y los bloqueadores de URL de los dispositivos. Esto hace que el hackeo mediante códigos QR a través del correo electrónico sea especialmente eficaz. El mensaje parece provenir de Microsoft, de tu banco o del departamento de TI de tu empresa, con logotipos y un formato profesional.

Un significativo 27 % de estos ataques de quishing utiliza alertas falsas de autenticación multifactorial: «Tu sesión ha caducado: escanea para volver a verificar». Esa urgencia está diseñada para evitar que te lo pienses dos veces.

Códigos QR ocultos en documentos y correo postal

Este es uno de los peligros más ignorados al escanear códigos QR: solo a mediados de 2024 se detectaron medio millón de correos electrónicos de phishing con códigos QR incrustados en archivos PDF adjuntos. El documento parece legítimo —una factura, un extracto de prestaciones, un aviso de entrega— y el código QR que contiene parece un atajo muy práctico. La FTC también ha señalado un aumento de las estafas por correo postal, en las que los enlaces de malware con códigos QR llegan impresos en albaranes falsos o facturas de servicios públicos.

Campañas de quishing impulsadas por IA

La evolución más reciente y preocupante de las amenazas de ciberseguridad de quishing implica páginas de phishing generadas por IA que son casi indistinguibles de las reales. Los atacantes ahora pueden crear en cuestión de minutos una página falsa y convincente de reserva o de inicio de sesión en PayPal, adaptada a un objetivo específico, con una imagen de marca realista y un texto personalizado. Esto ha dificultado considerablemente la prevención del fraude con códigos QR tanto para particulares como para organizaciones.

Pero la amenaza va mucho más allá de las páginas de inicio de sesión falsas. La IA se utiliza ahora en todas las fases del proceso de ataque, desde la selección del objetivo hasta la entrega y la evasión.

• Cebos hiperpersonalizados. El phishing tradicional se basaba en cebos genéricos: «tu cuenta ha sido suspendida». Las campañas impulsadas por IA extraen datos disponibles públicamente: tu empresa, tu ciudad, tus compras recientes. El resultado es una estafa con código QR que parece haber sido escrita específicamente para ti, porque, en cierto sentido, así es. Una factura falsa de un proveedor cuyo nombre reconoces. Un aviso de «entrega fallida» que coincide con tu dirección real. Ese nivel de especificidad es lo que hace que el quishing moderno sea tan difícil de descartar a simple vista.
• Refuerzo con voz y deepfakes. En los ataques de mayor valor —que suelen dirigirse a empleados de finanzas o RR. HH.—, las llamadas de voz generadas por IA o los mensajes de vídeo deepfake ahora preceden al código QR malicioso. La llamada genera confianza («Hola, soy el servicio de soporte informático; recibirás un código de verificación en breve»), y el código QR llega momentos después por correo electrónico o SMS. Para cuando la víctima lo escanea, ya está predispuesta a cumplir con lo que se le pide.
• Infraestructura automatizada a gran escala. Lo que antes requería conocimientos técnicos para su configuración —dominios falsos, certificados SSL, sitios web similares— ahora se puede generar y rotar automáticamente. Los atacantes despliegan simultáneamente cientos de páginas de phishing de corta duración, cambiando de dominio con la suficiente rapidez como para adelantarse a las listas de bloqueo. Por eso las herramientas de seguridad tradicionales basadas en URL tienen dificultades: para cuando se marca un dominio, ya ha sido sustituido.
• Evasión integrada en el diseño. Los modelos de IA entrenados en patrones de detección de seguridad ahora pueden generar códigos QR y páginas de destino diseñadas específicamente para evitar activar los filtros. Imitan la estructura visual de las páginas legítimas con gran fidelidad: grosores de fuente correctos, campos de formulario de aspecto auténtico, mensajes de error realistas cuando se introducen credenciales incorrectas (un truco clásico para recopilar múltiples intentos de contraseña).

La implicación práctica es clara: las pistas visuales y contextuales que antes ayudaban a identificar una estafa están dejando de ser fiables. El escepticismo sobre la fuente —y no solo sobre la apariencia— es ahora el filtro más importante.