La nueva estafa digital oculta enlaces maliciosos para robar contraseñas y datos financieros
Santo Domingo, RD. – Los códigos QR estuvieron presentes en alrededor del 11 % de los correos electrónicos de phishing analizados por ESET durante el primer semestre de 2026. La compañía de ciberseguridad advierte sobre el crecimiento del quishing, una modalidad que utiliza estos códigos para dirigir a las víctimas hacia sitios fraudulentos.
¿Cómo funciona el quishing?
Según el informe ESET Threat Report H1 2026, esta amenaza ocupó el séptimo lugar entre los principales riesgos distribuidos por correo electrónico. Estados Unidos encabezó las detecciones, con un 19 %, seguido de España, con un 17 %, y México, con un 6 %.
El quishing combina los términos QR y phishing. Los delincuentes esconden direcciones maliciosas dentro de códigos que pueden aparecer en correos electrónicos, archivos PDF, mensajes de WhatsApp y SMS, páginas web o redes sociales. También pueden colocarlos en carteles, folletos y paquetes, o pegar adhesivos sobre códigos legítimos.
Al escanearlos, las víctimas pueden llegar a páginas falsas de inicio de sesión, pantallas de pago, descargas de aplicaciones maliciosas o acciones dentro de aplicaciones legítimas. El principal riesgo es que la dirección de destino permanece oculta hasta que se escanea el código.
Los teléfonos móviles, objetivo del ataque
Jonathan Ramos, investigador de Seguridad Informática de ESET Latinoamérica, explica que los atacantes trasladan la interacción desde computadoras hacia teléfonos móviles que podrían tener menos medidas de protección.
Entre los casos identificados figura un correo que imita las notificaciones de DocuSign, plataforma de firma electrónica. El mensaje utiliza su identidad visual, anuncia un documento pendiente de revisión y presenta un código QR para supuestamente completar el proceso.
La comunicación incluye un botón amarillo que invita a escanear el código, sin ofrecer un enlace alternativo. Así, reduce las señales visibles que podrían alertar al usuario sobre el engaño.
Una vez en el celular, los delincuentes pueden intentar robar credenciales bancarias, cuentas de correo y accesos corporativos. También pueden dirigir a las víctimas a operaciones de pago con datos precargados o a páginas que distribuyen aplicaciones fuera de las tiendas oficiales.
Cómo prevenir esta estafa digital
ESET recomienda desconfiar de los códigos inesperados, los mensajes alarmistas y los que presionan para actuar rápidamente. También aconseja revisar si hay adhesivos sobre códigos originales y verificar que la dirección de destino corresponda al servicio esperado.
Para consultar facturas, envíos o beneficios, es preferible entrar directamente al sitio oficial o utilizar su aplicación legítima. Nunca se deben introducir contraseñas ni datos financieros sin verificar previamente la página.
La compañía también aconseja descargar aplicaciones únicamente desde tiendas oficiales, comprobar solicitudes dudosas mediante canales de contacto conocidos y mantener el teléfono actualizado y protegido con una solución de seguridad confiable.
Ramos concluye que la expansión de los códigos QR en las actividades cotidianas ofrece nuevas oportunidades para el fraude. Por ello, recomienda que usuarios y organizaciones presten mayor atención a esta amenaza.
