El quishing se ha convertido en una de las amenazas que avanza a más velocidad dentro del phishing. La idea es sencilla: un código QR aparentemente inofensivo esconde una dirección fraudulenta. Microsoft ha puesto cifras a ese crecimiento: en marzo de 2026 detectó 18,7 millones de ataques de este tipo, frente a los 7,6 millones de enero, lo que supone un incremento del 146% en apenas tres meses.
El problema se apoya en gestos que ya forman parte de la rutina. Escanear la carta de un restaurante, pagar el aparcamiento, descargar una entrada o consultar información turística se ha vuelto normal. Esa familiaridad es la que aprovechan los ciberdelincuentes. Expertos de Áudea, la unidad de ciberseguridad de Logicalis Spain, insisten en que la dirección web queda oculta hasta que se abre el enlace, y eso reduce las señales de alarma que el usuario podría detectar a simple vista.
Por qué un código QR oculta el engaño y salta del ordenador al móvil
A diferencia de un enlace escrito, el QR no muestra la URL antes de escanearlo. Andrés Cartes Guilarte, consultor de Cultura de Ciberseguridad de Áudea, señala que esa opacidad es una de las grandes ventajas para el atacante. El usuario no puede comprobar si el destino es legítimo y, en muchos casos, el escaneo se hace desde el móvil, lo que traslada la interacción fuera del ordenador corporativo y de los controles de seguridad de la empresa.
Una vez abierto el enlace, la víctima puede acabar en páginas que imitan servicios corporativos, plataformas bancarias o pantallas de autenticación. El objetivo depende del fraude, pero suele pasar por obtener credenciales, datos personales o información financiera. Esa suplantación resulta más creíble cuando el mensaje llega en un contexto conocido, como una supuesta comunicación interna o un aviso de una entidad que el usuario utiliza habitualmente.
Microsoft también identificó durante el mismo periodo alrededor de 8.300 millones de amenazas de phishing distribuidas por correo electrónico. La compañía calificó el quishing como el vector de ataque que más rápido creció en ese tramo, una tendencia que encaja con la expansión del uso de códigos QR en todo tipo de entornos.
PDF, correos y documentos de Microsoft 365: los canales preferidos
El Email Threats Report 2026 de Barracuda deja varios datos llamativos. El 70% de los PDF maliciosos analizados contenía códigos QR que dirigían a páginas de phishing. Es decir, el documento actúa como disfraz para que la víctima confíe en el archivo y no sospeche del código que aparece en su interior.
El mismo informe detalla que el 56% de los documentos maliciosos de Microsoft 365 incluía quishing. Además, los códigos insertados directamente en el cuerpo de los mensajes de correo electrónico aumentaron un 336% en marzo de 2026. Los atacantes no se limitan a los archivos adjuntos: también colocan el QR en el propio texto del mensaje para ampliar las posibilidades de que alguien lo escanee.
Desde ESET apuntan en su Threat Report H1 2026 que hasta el 11% de todo el phishing de la primera mitad del año se produjo en modalidad quishing. La firma advierte de que las técnicas se están refinando: hay campañas que buscan hacerse con tokens de autenticación multifactor, instalar malware, conseguir que la víctima descargue aplicaciones maliciosas o utilizar aplicaciones legítimas del teléfono como parte del engaño.
Josep Albors, responsable de Investigación y Concienciación de ESET España, explica que los atacantes pueden camuflar aún más el código incrustándolo en archivos PDF, imágenes JPEG u otros documentos, o recurriendo a servicios que acortan direcciones antes de generar el QR. Al mismo tiempo, el mensaje que acompaña al código puede tener muy poco texto, lo que elimina pistas clásicas como errores ortográficos, enlaces visibles o dominios extraños.
Del menú del restaurante al parking: riesgo físico y medidas de defensa
El peligro no se queda en la bandeja de entrada. Los códigos QR colocados en restaurantes, comercios, medios de transporte, aparcamientos y servicios turísticos plantean el mismo problema: tampoco se puede comprobar antes de escanearlos qué página van a mostrar. En espacios públicos, además, el código puede haber sido manipulado o sustituido por otro fraudulento.
INCIBE recogió en agosto un caso real que ilustra bien el riesgo. Una usuaria escaneó el código QR de la carta de un restaurante y, tras acceder al enlace y aceptar una ventana emergente, activó sin querer una suscripción premium no solicitada. Otros clientes del mismo establecimiento vivieron situaciones similares, lo que muestra que el problema no fue un error aislado de una sola persona.
La expansión de esta tecnología explica parte del fenómeno. Según datos recopilados por QR TIGER, alrededor del 75% de los restaurantes de todo el mundo ya utilizan códigos QR para facilitar el acceso a menús digitales. El uso de esta herramienta en marketing y publicidad creció un 323% entre 2021 y 2023, una cifra que ayuda a entender por qué los delincuentes han puesto el foco en ella.
Para las empresas, ESET recomienda incluir el quishing en los programas de concienciación y en los ejercicios de simulación, de forma que los empleados aprendan a reconocer códigos QR sospechosos. También aconseja evitar el escaneo de códigos presentes en correos no solicitados y reportar cualquier mensaje que resulte extraño.
Cuando un empleado crea que un mensaje viene de una fuente fiable, conviene verificarlo por un canal independiente, usando datos de contacto que no procedan del propio correo. Esa comprobación evita que la confirmación dependa de la información que ha enviado el posible atacante.
La protección técnica también importa. Entre las medidas citadas están las soluciones de seguridad de correo electrónico, las herramientas de seguridad móvil, la gestión de dispositivos mediante MDM, la autenticación multifactor resistente al phishing, el principio de mínimo privilegio, los accesos just-in-time, las actualizaciones periódicas y la supervisión de comportamientos anómalos. A ello se suma la necesidad de probar los planes de respuesta ante incidentes para reaccionar con rapidez si el ataque llega a producirse.
- Seguridad de correo y móvil para bloquear enlaces y código malicioso.
- Gestión de dispositivos MDM para aplicar políticas mínimas.
- MFA resistente al phishing y principio de mínimo privilegio.
- Actualizaciones, accesos just-in-time y supervisión continua.
El patrón que dejan todas estas cifras es claro: el quishing ha encontrado un hueco en la vida diaria porque los códigos QR son cómodos, rápidos y están por todas partes. Esa misma normalidad es la que lo convierte en una amenaza difícil de ver. La clave está en desconfiar de lo inesperado, comprobar el contexto antes de escanear y aplicar medidas de seguridad que acompañen al usuario desde el correo hasta el móvil, pasando por los documentos y los espacios físicos.
