--- id: CP-006 slug: quishing-codigo-qr-trampa lang: es title: "Quishing: la trampa del código QR" description: Un código QR manipulado oculta su dirección en una imagen y lleva a una página de inicio de sesión falsa. Cómo detectarlo y qué hacer antes de escanear. canonical_url: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ markdown_url: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Quishing: la trampa del código QR», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-006 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ fr: https://startbrain.io/cyberpedia/fr/articles/quishing-qr-code-pieges/ en: https://startbrain.io/cyberpedia/en/articles/quishing-qr-code-phishing/ de: https://startbrain.io/cyberpedia/de/articles/quishing-qr-code-falle/ it: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ sources: - "n": 1 title: What Is Quishing (QR Phishing)? Definition | Proofpoint US publisher: Proofpoint url: https://www.proofpoint.com/us/threat-reference/quishing published: "2025-03-31" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 5 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Quishing: la trampa del código QR El quishing es un ataque de suplantación de identidad (phishing) que se sirve de un código QR. El código es una imagen: no muestra la dirección que contiene, y el usuario no puede verla de antemano [1]. Para un empleado, la trampa está en un gesto corriente. Se escanea un código recibido en un correo, pegado en un cartel o colado en un documento compartido, y se llega a una página que pide iniciar sesión o pagar [1]. ## En 30 segundos - Dónde ocurre: correos electrónicos, SMS, facturas falsas, carteles, menús, etiquetas de productos, PDF u hojas de cálculo compartidos [1]. - Lo que busca el atacante: enviarle a una página de inicio de sesión falsa o hacer que descargue software malicioso [1]. - El reflejo: antes de escanear un código, compruebe su origen por otro canal, por ejemplo llamando al remitente [1]. - Si ya lo ha hecho: no introduzca credenciales ni datos de pago mientras no se confirme que el sitio es auténtico [1]. Denuncie el mensaje y bórrelo sin responder [2]. ## Preguntas directas ### ¿Qué es el quishing? Es phishing mediante código QR. Proofpoint lo describe como un ataque de ingeniería social que redirige a las víctimas a sitios maliciosos o provoca descargas de software malicioso. A diferencia del phishing clásico, que se apoya en enlaces escritos en claro, utiliza un código en forma de imagen [1]. ### ¿Por qué es más difícil juzgar un código QR que un enlace? Porque la dirección es invisible. Proofpoint señala que el usuario no puede ver de antemano la URL contenida en el código, lo que hace explotable la herramienta [1]. ### ¿Por qué los filtros de la empresa no siempre lo detectan? Según Proofpoint, el quishing esquiva los filtros del correo [1]. Tim Bedard, de IBM Expert Labs, citado en la misma página, explica que las herramientas de seguridad del correo buscan en los mensajes enlaces sospechosos conocidos, pero no analizan las imágenes para encontrar enlaces ocultos en un código QR [1]. Existen soluciones especializadas: extraen los códigos QR de los correos y de los archivos adjuntos, como los PDF, decodifican la dirección y evalúan su riesgo [1]. ### ¿Afecta también a mi teléfono personal? Sí. Proofpoint escribe que esta táctica hace vulnerables a las organizaciones tanto a través de los dispositivos profesionales como de los personales [1]. La página no detalla más este punto. ### ¿Qué hacer antes de escanear? Proofpoint aconseja confirmar la legitimidad de un código con el remitente por otro canal, como una llamada telefónica, antes de escanear un código recibido por correo, por SMS o en un lugar público [1]. La CISA añade una regla general: si un mensaje podría ser real, no haga clic en ningún enlace ni llame a ningún número que contenga, y busque otra forma de contactar con la empresa o la persona [2]. ### ¿Qué hacer si el código parece sospechoso? La CISA recomienda denunciar el mensaje y luego borrarlo sin responder [2]. El NCSC británico recuerda que denunciar un mensaje fraudulento es gratuito y lleva un minuto, y que tiene la facultad de investigar las direcciones y los sitios fraudulentos para que se retiren [3]. En una empresa, Proofpoint recomienda canales claros para que los empleados puedan comunicar un código sospechoso sin temor a represalias [1]. Por su parte, el NCSC observa que los empleados que temen por su puesto no comunican sus errores [4]. ## En la piel del atacante Según Proofpoint, el método sigue cuatro etapas [1]. - Crear el código. Herramientas gratuitas en línea generan códigos QR que apuntan a un sitio de phishing o a un dominio que aloja software malicioso. - Difundirlo. El código se coloca en un correo de phishing, en una factura falsa, en un cartel, en el menú de un restaurante, o se pega sobre un código QR legítimo. - Empujar a actuar deprisa. Los mensajes invitan a actuar de inmediato, por ejemplo «Scan to unlock a discount» o «Verify your account». - Aprovechar el escaneo. La víctima llega a una página de inicio de sesión falsa, a un sistema de captura de credenciales o a una descarga de software malicioso. MITRE ATT&CK clasifica el phishing entre las técnicas de acceso inicial. Describe la suplantación de la identidad del remitente, que puede engañar tanto al destinatario como a las herramientas de seguridad automáticas, y el «thread hijacking» (secuestro de hilo): el atacante incluye a la víctima en una conversación existente cuyos mensajes contienen archivos o enlaces maliciosos [5]. La página de MITRE consultada no menciona los códigos QR: esos trucos son los del phishing en general. ## Lo que ve en la pantalla El mensaje típico pide escanear un código, a menudo con un motivo apremiante. Proofpoint cita «Scan to avoid account suspension» como ejemplo de señuelo basado en la urgencia [1]. Los códigos también se presentan como alertas de «verificación de cuenta» o avisos de envío, con un banco, una administración o un proveedor como remitente aparente [1]. En los lugares públicos, Proofpoint cita los menús de restaurante, los parquímetros, los carteles de tiendas y los folletos de eventos, con promesas de descuentos, acceso WiFi o contenido exclusivo [1]. En la empresa, los códigos pueden esconderse en PDF u hojas de cálculo internos que se hacen pasar por encuestas o material de formación [1]. Una vez abierta la página, la CISA enumera las señales clásicas de phishing: lenguaje urgente o emocional, petición de datos personales o financieros, direcciones acortadas poco fiables, direcciones o enlaces con errores como «amazan.com» [2]. Proofpoint cita por su parte «arnazon.com» [1]. La CISA precisa que la antigua señal de las faltas de ortografía ya no es segura: en la era de la inteligencia artificial, algunos correos tienen una gramática perfecta [2]. El NCSC advierte de que ninguna formación permite detectar todos los intentos, y de que examinar cada correo al detalle no dejaría horas suficientes para el trabajo [4]. ## Bajo el capó Un código QR es una matriz legible por máquina que puede contener hasta 7 089 caracteres numéricos, o bien URL, y se accede a él con la cámara de un smartphone o una aplicación de lectura. Su diseño incluye corrección de errores, que le permite funcionar incluso estando parcialmente dañado [1]. En el lado de la defensa, Proofpoint describe varias capas. Los motores de análisis usan modelos de visión por computador para encontrar los códigos QR en los correos, decodificar las direcciones y evaluar su riesgo. El sandbox en línea extrae los códigos de los archivos adjuntos y simula la visita a las direcciones en un entorno aislado antes de la entrega. Según Microsoft, citada por Proofpoint, este control previo a la entrega bloqueó en 2024 alrededor de 1,5 millones de intentos de quishing al día [1]. Contra las credenciales robadas en estas páginas falsas, Proofpoint recomienda la autenticación multifactor, y los protocolos DMARC, SPF y DKIM contra los correos suplantados [1]. El NCSC explica que DMARC impide que los autores de phishing suplanten el dominio de una organización, y que hacen falta varias capas de defensa en lugar de confiar solo en la vista de los usuarios, porque siempre habrá ataques que pasen [4]. ## Autopsias ### 2023: facturas de empresa falsas Proofpoint relata un ataque de 2023 que imitaba facturas de empresa. Los empleados eran dirigidos a portales de pago falsos [1]. La página no nombra ni a la empresa objetivo ni al autor del ataque. ### 2024: menús de restaurante tapados Según Proofpoint, una campaña de 2024 tuvo como objetivo cadenas de restaurantes al superponer códigos QR maliciosos sobre los menús impresos. Los clientes eran redirigidos a páginas de captura de credenciales que imitaban programas de fidelización [1]. De nuevo, la fuente no da el nombre de ninguna cadena. Estos dos casos proceden de una sola fuente comercial, que no da cifras de víctimas. El NCSC británico publicó además el 8 de febrero de 2024 una entrada titulada «QR Codes - what's the real risk?», de la que la página consultada solo reproduce el título y una frase de presentación [3]. ## Fuentes 1. Proofpoint, «What Is Quishing (QR Phishing)? Definition | Proofpoint US», 31 de marzo de 2025. https://www.proofpoint.com/us/threat-reference/quishing (consultado el 3 de noviembre de 2026) 2. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado el 3 de noviembre de 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026) 4. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.