¿Está su empresa utilizando códigos QR sin saber cuáles han sido manipulados? El phishing con códigos QR –comúnmente llamado “quishing”– convierte una comodidad cotidiana en una trampa para robar credenciales, y los filtros de seguridad tradicionales a menudo lo pasan por alto por completo. Esta guía cubre cómo funcionan estos ataques, lo que les cuestan a las empresas y los controles específicos que puede implementar para detenerlos.
Cómo funciona el phishing con códigos QR
El phishing con códigos QR explota una debilidad fundamental: los códigos QR no son legibles por humanos. Con una URL tradicional, un ojo entrenado a menudo puede detectar un dominio falsificado o una cadena sospechosa. Un código QR oculta todo eso. Como explica Alex Mosher, vicepresidente global de MobileIron:
“Los códigos QR ocultan inherentemente su destino. Por lo tanto, la capacidad de alterar un código QR para que apunte a un recurso alternativo sin ser detectado es simple y altamente efectiva.”
Los atacantes incrustan URL maliciosas dentro de códigos QR que redirigen a las víctimas a páginas de inicio de sesión falsas diseñadas para recolectar credenciales, o a sitios que activan descargas de malware. Agravando el problema, muchos sistemas de seguridad de correo electrónico no pueden decodificar imágenes de códigos QR –ven una imagen, no un enlace– por lo que la carga útil se desliza a través de filtros que detectarían una URL de phishing simple.
En 2023, el phishing con códigos QR representó el 22% de todos los ataques de phishing. Una campaña de quishing a gran escala creció un 2,400% en cuestión de meses, y el análisis de una operación dirigida a empresas encontró que aproximadamente el 29% de los correos electrónicos maliciosos contenían códigos QR.
Dónde los atacantes colocan códigos QR maliciosos
Ataques por correo electrónico y documentos son el método de entrega más común. Los atacantes incrustan códigos QR dentro de archivos adjuntos PDF o Word para eludir los filtros de seguridad del correo electrónico. En 2023, el 82% de los ataques de quishing suplantaron a marcas de confianza –Microsoft fue objetivo en el 51% de los casos observados, seguido de DocuSign con el 31% y Adobe con el 15%. Entre mediados y finales de 2024, los investigadores descubrieron más de 500,000 correos electrónicos de phishing que contenían códigos QR incrustados en archivos PDF.
Manipulación física es igualmente peligrosa. Los atacantes colocan pegatinas fraudulentas de códigos QR sobre códigos legítimos en lugares de alto tráfico –restaurantes, parquímetros, aeropuertos y espacios comerciales. En San Francisco, los delincuentes colocaron códigos QR falsificados en multas de estacionamiento que dirigían a los usuarios a una página de tránsito falsa diseñada para robar detalles de tarjetas de crédito. La Administración del Seguro Social advierte específicamente que los códigos QR legítimos en la señalización oficial generalmente no son pegatinas; un código aplicado como pegatina debe tratarse como sospechoso.
Señuelos de ingeniería social completan el panorama. Se pide a las víctimas que escaneen un código QR para reclamar un descuento, conectarse a Wi-Fi gratuito o completar una encuesta. En un caso documentado en Singapur, una mujer escaneó un código en una tienda de té de burbujas esperando una recompensa de lealtad. En cambio, se descargó una aplicación maliciosa en su teléfono, y los atacantes drenaron $2,000 de su cuenta bancaria.
Lo que estos ataques cuestan a las empresas
Robo de credenciales y datos
Casi el 90% de los ataques de quishing están diseñados específicamente para robar credenciales de inicio de sesión y datos sensibles. Los atacantes redirigen a las víctimas a réplicas convincentes de Microsoft 365, SharePoint o portales bancarios. Los ejecutivos son objetivo desproporcionadamente porque sus credenciales desbloquean sistemas críticos y datos privilegiados.
Los dispositivos personales empeoran esto. Cuando los empleados escanean códigos QR en teléfonos no registrados en la gestión empresarial, los equipos de TI no tienen visibilidad de lo que sucedió o a qué se accedió.
Pérdidas Financieras
El costo promedio de una filtración de datos alcanzó $4.45 millones en 2023, con las estafas de compromiso de correo electrónico empresarial promediando $4.89 millones – antes de considerar multas regulatorias y gastos legales. Las pérdidas directas por phishing aumentaron 76% año tras año. Incidentes individuales ilustran la escala: una estafa en una estación de tren del Reino Unido dejó a una víctima con una deuda de £13,000; una familia de Calgary perdió $10,000 debido a una estafa de código QR en Facebook Marketplace.
Las pequeñas empresas absorben una parte desproporcionada del daño. En el Reino Unido, las pequeñas empresas enfrentan un estimado de 65,000 ciberataques diarios, con un costo promedio para resolver un ataque exitoso de alrededor de $33,700.
Interrupción Operacional y Daño Reputacional
Las credenciales robadas con frecuencia sirven como punto de entrada para el despliegue de ransomware. En 2023, las organizaciones gastaron un promedio de $1.82 millones recuperándose de incidentes de ransomware. Las empresas de construcción e ingeniería enfrentan un riesgo de ataque de código QR 19.2 veces mayor que el promedio; las empresas de servicios profesionales enfrentan un riesgo 18.5 veces mayor.
Más allá del tiempo de inactividad operacional, las empresas enfrentan la rotación de clientes, primas de seguro de ciberseguridad más altas y escrutinio regulatorio cuando se exponen los datos de los clientes. Reconstruir la confianza después de una filtración lleva mucho más tiempo que resolver el incidente técnico en sí.
Cómo Prevenir el Phishing con Códigos QR: Un Enfoque por Capas
Ningún control único elimina el quishing. La recomendación consistente de investigadores de seguridad, agencias federales y equipos de seguridad empresarial es una defensa por capas que combina el filtrado de correo electrónico, controles de identidad, protección de endpoints, capacitación de empleados y flujos de trabajo de informes.
Controles de Seguridad del Correo Electrónico
Configure los sistemas de seguridad del correo electrónico con capacidades que van más allá del escaneo de enlaces estándar. Los controles efectivos incluyen:
- Filtrado con capacidad OCR que decodifica imágenes de códigos QR dentro de los correos electrónicos y analiza la URL incrustada contra la inteligencia de amenazas
- Políticas anti-phishing ajustadas para marcar cargas útiles basadas en imágenes, especialmente códigos QR incrustados en archivos adjuntos de documentos PDF u Office
- Reglas estrictas de puerta de enlace de spam que tratan los códigos QR no solicitados en el correo electrónico como de alto riesgo por defecto
Específicamente para entornos de Microsoft 365, Microsoft Defender para Office 365 incluye la decodificación de imágenes de códigos QR para mostrar URL incrustadas para la verificación de reputación y la evaluación de Vínculos seguros.
Controles de identidad y acceso
Las credenciales robadas solo son útiles si se pueden usar. Los controles de identidad en capas reducen ese riesgo significativamente:
- Autenticación multifactor (MFA) en todas las cuentas, con requisitos de autenticación más estrictos para usuarios con altos privilegios y ejecutivos
- Métodos de MFA resistentes al phishing como claves de seguridad de hardware o passkeys, que están vinculadas al dominio legítimo y no pueden ser interceptadas por un sitio fraudulento
- Bloqueo de protocolos de autenticación heredados que no admiten MFA, eliminando una ruta de omisión común
- Políticas de acceso condicional que marcan o bloquean los intentos de inicio de sesión desde dispositivos no administrados
Para un contexto más profundo sobre cómo los códigos QR se cruzan con los flujos de trabajo de autenticación, consulte cómo los códigos QR simplifican la autenticación multifactor.
Protección de puntos finales y dispositivos
Los dispositivos administrados con seguridad de punto final actualizada proporcionan una red de seguridad crítica:
- Implementar detección y respuesta de puntos finales (EDR) en todos los dispositivos administrados
- Habilitar verificaciones de reputación del navegador (como Microsoft SmartScreen) que advierten a los usuarios antes de que lleguen a un dominio de phishing conocido
- Aplicar políticas de administración de dispositivos móviles (MDM) que aplican líneas base de seguridad en los teléfonos utilizados para escanear códigos QR para el trabajo
- Restringir las descargas desde dispositivos no administrados en redes corporativas
La FTC aconseja mantener actualizados los sistemas operativos de los dispositivos y usar contraseñas fuertes y únicas en todas las cuentas como higiene fundamental que reduce el impacto de cualquier intento de phishing exitoso.
Capacitación y Concientización de Empleados
Sus empleados son la línea de defensa más directa contra el "quishing", y la capacitación debe ser explícita – la concientización general sobre phishing no se transfiere automáticamente a las amenazas de códigos QR.
Los programas de capacitación efectivos cubren:
- Por qué los códigos QR son peligrosos: el destino está oculto hasta después del escaneo
- Señales de alerta en correos electrónicos que contienen códigos QR: urgencia, saludos genéricos, mensajes no solicitados de marcas conocidas y solicitudes de credenciales de inicio de sesión
- Señales de manipulación física: códigos aplicados como pegatinas sobre materiales impresos, códigos en señalización no oficial
- Hábitos de verificación: si un código QR llega en un correo electrónico inesperado, contacte al remitente a través de un número de teléfono conocido o un sitio web oficial en lugar de escanear el código
- Inspección de URL: después de escanear, verifique la URL en la barra del navegador antes de ingresar cualquier credencial – busque errores ortográficos, letras cambiadas o dominios desconocidos
El Departamento de Salud y Servicios Humanos de EE. UU. recomienda capacitar a los usuarios finales para que mantengan un grado saludable de escepticismo y reconozcan indicadores como direcciones de remitentes sospechosas, enlaces falsificados y gramática incorrecta – todo lo cual aparece en las campañas de phishing basadas en QR al igual que en las basadas en texto.
Realice ejercicios simulados de "quishing" junto con simulaciones estándar de phishing. Dirija a los grupos de alto riesgo – ejecutivos, equipos financieros y cualquier persona con privilegios administrativos – con escenarios más frecuentes y realistas.
Para una visión más amplia de las mejores prácticas de seguridad de códigos QR en ciberdefensa, incluyendo el cifrado y el emparejamiento de autenticación, esa guía cubre los controles técnicos con mayor profundidad.
Informes y Respuesta a Incidentes
Los empleados necesitan una forma clara y de baja fricción para reportar códigos QR sospechosos – tanto en el correo electrónico como en espacios físicos. Un botón de "reportar phishing" en los clientes de correo electrónico elimina la fricción para los informes digitales. Para los códigos físicos, proporcione orientación sobre cómo señalar y fotografiar pegatinas sospechosas o materiales manipulados.
Su plan de respuesta a incidentes debe abordar específicamente los escenarios de quishing con pasos definidos:
- Aísle cualquier cuenta que pueda haber enviado credenciales a través de un código QR malicioso
- Revoque las sesiones activas y restablezca las contraseñas de inmediato
- Verifique si hay acceso no autorizado o movimiento de datos en el período entre el escaneo y la respuesta
- Notifique a las personas afectadas de acuerdo con su política de notificación de infracciones
- Realice una revisión posterior al incidente para identificar cómo el código QR eludió los controles existentes
Realice pruebas de penetración que incluyan escenarios de quishing para encontrar vulnerabilidades antes de que lo hagan los atacantes.
Códigos QR que su empresa implementa: Protegiendo sus propios códigos
Prevenir el quishing también significa asegurar que los códigos QR que su empresa publica no puedan ser utilizados como arma contra sus clientes o empleados.
Utilice códigos QR dinámicos en lugar de estáticos. Los códigos estáticos codifican permanentemente una URL de destino. Si ese destino se ve comprometido alguna vez, el código se convierte en una responsabilidad que no puede solucionar sin reimprimir. Códigos QR dinámicos apunte a una URL de redirección corta que usted controle: puede actualizar el destino, redirigir a una nueva página o deshabilitar el código por completo desde un panel de administración sin tocar el material impreso.
Mantenga sus códigos QR publicados bajo control Si sospecha que uno de sus códigos implementados ha sido manipulado o apunta a un lugar inseguro, puede actualizarlo o deshabilitarlo al instante. Utilice el Generador de códigos QR dinámicos para administrar todos sus códigos desde un panel centralizado con análisis de escaneo en tiempo real.
Aplique una marca consistente a sus códigos. El setenta y uno por ciento de las personas no puede distinguir de forma fiable un código QR falso de uno legítimo. Los códigos QR de marca, con su logotipo, colores de la empresa y un dominio personalizado en la URL de destino, dan a los usuarios una señal visual de que el código es auténtico. Los códigos QR genéricos en blanco y negro con URL cortas opacas no ofrecen tal garantía.
Monitoree los análisis de escaneo en busca de anomalías. Los códigos QR dinámicos recopilan datos de escaneo que incluyen marcas de tiempo, tipos de dispositivos y ubicaciones geográficas. Un aumento repentino en los escaneos desde regiones inesperadas, o actividad de escaneo fuera del horario comercial normal, puede indicar que uno de sus códigos ha sido copiado y redistribuido maliciosamente. El panel de análisis de Pageloot muestra estos patrones para que pueda investigar y responder rápidamente.
Para una mirada detallada a qué datos de escaneo recopilan sus códigos y cómo interpretarlos de manera responsable, consulte comprender qué datos rastrean sus códigos QR dinámicos.
Realice auditorías físicas periódicas. Para cualquier código QR que se muestre en espacios públicos o semipúblicos (mesas de restaurantes, señalización de eventos, pantallas de vehículos o escaparates), inspeccione físicamente los códigos de forma regular. Busque pegatinas colocadas sobre el código original y pruebe el destino de cada código antes de que los clientes lo encuentren.
Utilice destinos HTTPS exclusivamente. Cada URL a la que enlacen sus códigos QR debe usar HTTPS. Enviar a los usuarios a un destino HTTP no cifrado socava la confianza y expone los datos en tránsito.
Para obtener orientación adicional sobre riesgos de privacidad de los códigos QR y cómo evitarlos, incluyendo cómo equilibrar el análisis con la privacidad del usuario, ese recurso cubre las consideraciones de datos que las empresas a menudo pasan por alto.
Evaluación de herramientas de detección
La capacitación de los empleados y los controles de la plataforma abordan una parte significativa del riesgo, pero las herramientas de detección dedicadas añaden otra capa, particularmente para organizaciones con un alto volumen de correo electrónico o implementaciones complejas de códigos QR. Si está evaluando opciones, herramientas diseñadas para detectar el phishing de códigos QR van desde plataformas de análisis de comportamiento empresarial hasta complementos de pasarela de correo electrónico y aplicaciones de escaneo móvil con verificaciones de reputación integradas.
La combinación adecuada depende de su pila de seguridad existente, el volumen de códigos QR que recibe frente a los que implementa, y si la manipulación física es una preocupación significativa para sus ubicaciones. El quishing no es una amenaza hipotética. Representa una parte significativa de la actividad de phishing en el mundo real, elude los controles que la mayoría de las organizaciones ya tienen implementados y se dirige desproporcionadamente a las empresas y usuarios menos equipados para reconocerlo. Cerrar la brecha requiere una acción deliberada en la seguridad del correo electrónico, los controles de identidad, la capacitación de los empleados y los códigos QR que usted mismo publica.
Comience con los controles que puede implementar de inmediato (MFA, concienciación de los empleados y el cambio de sus códigos publicados a gestión dinámica) y luego avance hacia la defensa en capas que hace que los ataques de quishing sean consistentemente infructuosos contra su organización.
Preguntas frecuentes
El phishing regular típicamente usa URLs visibles en el texto del correo electrónico o hipervínculos que un usuario entrenado puede inspeccionar antes de hacer clic. El phishing con código QR oculta el destino por completo – la URL maliciosa está codificada dentro de la imagen, invisible hasta después de escanear. Esto también dificulta la detección por parte de los filtros de seguridad de correo electrónico, ya que ven una imagen en lugar de un enlace. El resultado es que el phishing con código QR elude muchos controles que capturan eficazmente el phishing basado en texto.
Concéntrese primero en los controles de mayor impacto: habilite la autenticación multifactor en todas las cuentas, capacite a los empleados para que traten los códigos QR inesperados como sospechosos y los verifiquen a través de canales independientes, y cambie cualquier código QR publicado de estático a dinámico para que pueda actualizarlos o deshabilitarlos si se detecta un problema. Estos pasos cuestan poco y eliminan las rutas de ataque más comunes. Utilice un escáner de códigos QR con capacidad de vista previa de URL antes de escanear códigos desconocidos, y establezca un proceso claro para que los empleados informen códigos sospechosos al departamento de TI.
Los códigos QR estáticos codifican permanentemente una URL de destino. Si esa URL se ve comprometida – o si un atacante copia su código y lo redistribuye apuntando a un sitio malicioso – no tiene forma de corregir el código impreso original sin reimprimir todo. Los códigos QR dinámicos se enrutan a través de una URL de redirección corta que usted controla centralmente. Puede cambiar el destino, añadir protección con contraseña, establecer fechas de caducidad y monitorear la actividad de escaneo en tiempo real. Si algo parece incorrecto, puede deshabilitar el código inmediatamente. Esa combinación de flexibilidad y visibilidad hace que los códigos dinámicos sean significativamente más seguros para cualquier código QR utilizado en contextos empresariales públicos o continuos.
