Quishing: el phishing por código QR que evade el correo

Un empleado recibe un correo con un código QR: una supuesta renovación de credenciales, una factura o una alerta de seguridad. Lo escanea con el teléfono, llega a una página clonada, escribe su contraseña y, sin saberlo, acaba de entregar el acceso a la empresa. Eso es quishing, el phishing por código QR, y funciona porque traslada el ataque del computador vigilado al móvil personal, donde casi no hay controles.

La conclusión es directa: el quishing no es una curiosidad técnica, es una forma de phishing diseñada para esquivar justo las defensas en las que más confían las empresas. Los filtros de correo analizan enlaces y adjuntos, pero un código QR es una imagen, así que el destino malicioso viaja oculto dentro de un patrón de píxeles y se abre en un dispositivo que el equipo de seguridad no administra. Más del 90% de los ciberataques exitosos comienzan con un correo de phishing, según CISA, y el QR es la variante que más fricción le quita al atacante.

Qué es el quishing y por qué evade el correo

Quishing nace de unir QR y phishing. En lugar de un enlace clickeable, el atacante incrusta un código QR en un correo, un PDF, un cartel impreso o una notificación que imita un proceso interno. Al escanearlo, la víctima abre una URL fraudulenta que pide credenciales, solicita una aprobación o induce una descarga.

El método tiene tres ventajas para quien ataca. La primera: muchos controles de correo no resuelven el destino de un código QR como sí leen un enlace de texto, de modo que el mensaje llega a la bandeja. La segunda: el escaneo ocurre en el teléfono, normalmente fuera del perímetro corporativo, sin el mismo navegador protegido ni las mismas políticas. La tercera: el QR transmite naturalidad y urgencia, porque ya lo usamos para menús, pagos y accesos, así que escanear se siente rutinario.

En el fondo, el quishing es gestión de riesgo humano (Human Risk Management, HRM): detectar quién está más expuesto, simular el ataque tal como llegaría, corregir en el momento del fallo y comprobar con un retest que la lección quedó.

Cómo se ve un ataque de quishing en una empresa

Los escenarios más comunes copian fricciones cotidianas del negocio. Un correo avisa de que la autenticación multifactor expira y ofrece un QR para reconfigurarla. Un PDF de un proveedor incluye un QR de pago que cambia la cuenta de destino. Un cartel en una sala de reuniones invita a escanear para acceder al wifi de invitados. Un mensaje del área de personal pide validar datos escaneando un código.

En todos los casos, el QR lleva a una página que captura credenciales o consigue una aprobación. Y no todos los empleados representan el mismo riesgo. El financiero que autoriza pagos, el comercial que vive en el correo y la dirección que recibe solicitudes urgentes concentran más impacto que el promedio. Tratar a toda la plantilla igual diluye la defensa donde más duele.

Qué no funciona contra el quishing

Prohibir los códigos QR no es realista: forman parte de la operación diaria. Confiar solo en el filtro de correo tampoco basta, porque el QR está diseñado para pasar ese control. Y una charla anual de concientización llega tarde y habla en abstracto, justo cuando el ataque ocurre en segundos y en el móvil.

Medir solo la tasa de click es otra trampa. Que baje el porcentaje en una campaña no demuestra que la persona vaya a resistir un QR convincente la próxima vez. Sin validar el cambio de comportamiento, la organización gestiona actividad, no riesgo.

Qué sí reduce el riesgo de quishing

La defensa eficaz es continua y se apoya en cuatro piezas que trabajan juntas. Primero, visibilidad sobre la exposición real de cada persona, en especial las credenciales filtradas que el atacante reutiliza. Segundo, simulaciones que reproducen el quishing tal como llega, con el QR en el correo y el aterrizaje en el móvil, no un ejercicio genérico. Tercero, capacitación contextual inmediata cuando alguien escanea el señuelo, centrada en verificar el dominio antes de introducir credenciales. Cuarto, un retest dirigido semanas después con otra plantilla del mismo patrón, para confirmar que la persona aprendió la lógica, no el ejemplo.

Ese último paso es el que más se omite y el que más importa. Validar el cambio con una nueva prueba, y no con un certificado de finalización, es lo único que demuestra que el riesgo bajó. Para empresas de 25 a 500 empleados que operan sobre Microsoft 365 o Google Workspace, una implementación rápida vía OAuth permite empezar a ver señales accionables en días, no en un trimestre.

Qué medir para saber si la defensa funciona

Conviene seguir la reincidencia ante señuelos con QR, el tiempo entre la detección de una exposición y la corrección, la presencia de credenciales comprometidas y la reducción de usuarios críticos en niveles altos de riesgo. Por encima de todo pesa una señal: si la persona, ante un quishing similar semanas después, ya no escanea ni entrega datos. Esa es la prueba de que el comportamiento cambió.

El quishing seguirá creciendo porque le quita trabajo al atacante y se lo añade a la víctima. Una plataforma como Fensivo aborda ese hueco uniendo monitoreo de credenciales, simulación adaptativa y capacitación contextual en un mismo flujo, y validando con retest que la conducta mejoró. La pregunta que conviene hacerse no es si el equipo sabe que existen los códigos QR maliciosos. Es si la organización puede demostrar, persona por persona, que hoy responde mejor cuando aparece uno.

Fuentes y referencias

• CISA, "4 Things You Can Do To Keep Yourself Cyber Safe". cisa.gov