Quishing en México: los códigos QR concentran el 11% de las campañas de phishing en América Latina, alerta ESET
Ingeniería social móvil, suplantación corporativa y medidas preventivas
El auge y la cotidianidad en el uso de códigos QR han transformado la superficie de ataque cibernético en México y América Latina. De acuerdo con el más reciente reporte de inteligencia de amenazas de la firma de ciberseguridad ESET Latinoamérica, los códigos QR estuvieron presentes en el 11% de los correos electrónicos maliciosos de phishing detectados durante el primer semestre de 2026, ubicando a México como el tercer país con más detecciones en el mundo (6%), sólo detrás de Estados Unidos (19%) y España (17%).
Conocida técnicamente como quishing (término derivado de la unión de QR y phishing), esta modalidad de ingeniería social consiste en incrustar enlaces fraudulentos dentro de una matriz gráfica bidimensional en lugar de presentar un hipervínculo visible en texto. A diferencia de las URL convencionales, el destino final de un código QR permanece oculto para el ojo humano hasta que la cámara del dispositivo móvil interpreta la imagen, eludiendo gran parte de los filtros antispam corporativos.
“Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora de oficina con defensas perimetrales, hacia un teléfono móvil personal que frecuentemente carece de las mismas capas de seguridad y dificulta una inspección previa de los enlaces”, explicó Jonathan Ramos, Investigador de Seguridad Informática de ESET Latinoamérica.
Entre los vectores analizados por ESET destaca la suplantación de identidad de plataformas de firma electrónica como DocuSign, donde correos con textos breves instan a escanear un QR para firmar documentos urgentes. Una vez en el teléfono inteligente, los atacantes ejecutan el robo de credenciales bancarias mediante pantallas clonadas, el secuestro de sesiones corporativas o la inducción a descargas de aplicaciones maliciosas fuera de las tiendas oficiales.
Para mitigar el riesgo, los especialistas recomiendan inspeccionar cuidadosamente la URL de previsualización que despliega el lector del teléfono antes de abrir cualquier enlace, evitar escanear códigos adheridos en espacios públicos o documentos impresos sin verificación previa, y no autorizar transacciones ni ingresar contraseñas en sitios redirigidos sin autenticación multifactor.
Equipo de redacción
