El panorama de la ciberseguridad cambios corporativos rápidamente, y uno de los Las amenazas que más preocupan en 2026 son el uso creciente de Códigos QR maliciosos en campañas de phishing.
Según datos recientes de la empresa de ciberseguridad Kaspersky, la detección de Aumentaron los correos electrónicos fraudulentos que incluyen estos códigos de menos de 50.000 en agosto a casi 250.000 en noviembre de 2025, una señal de alerta para empresas y empleados.
¿Por qué los códigos QR se han convertido en una herramienta de ataque tan eficaz?
A diferencia de los enlaces visibles, Los códigos QR trasladan la decisión de seguridad al usuario, que suele escanearlos con su teléfono móvil fuera del entorno protegido del correo electrónico corporativo. Esto debilita los controles y facilita el robo de credenciales, el acceso no autorizado y la fuga de datos internos.
Cómo funcionan las estafas con códigos QR por correo electrónico
En la mayoría de los casos, Los códigos QR están incrustados directamente en el cuerpo del correo electrónico. o, más sofisticadamente, dentro de archivos adjuntos PDF. El usuario recibe un mensaje que parece legítimo, con estética de servicios como Microsoft, plataformas corporativas o incluso recursos humanos. Entre los anzuelos más comunes se encuentran:
- Formularios de inicio de sesión falsos: El QR conduce a páginas que imitan portales oficiales y tienen como objetivo robar nombres de usuario y contraseñas.
- Notificaciones de Recursos Humanos: Correos electrónicos que le solicitan que revise documentos importantes, como calendarios de vacaciones o listas de personal, pero que conducen a sitios fraudulentos.
- Facturas y confirmaciones de compra: Archivos PDF que parecen documentos de cobro o reembolso, pero que ejecutan nuevas tácticas de ingeniería social, como el vishing (phishing por voz).
En todos los casos, la urgencia y apariencia legítima del mensaje hace que el usuario baje la guardia y escanee el código sin verificar su autenticidad.
¿Quiénes son los más afectados por la estafa del código QR?
El principal riesgo no está sólo en la cantidad de correos electrónicos detectados, sino en la interacción humana. Empleados, acostumbrados a escanear códigos QR en restaurantes, eventos y procesos cotidianostienden a hacerlo de forma automática, sin considerar los riesgos del entorno laboral.
Al hacer esto desde un dispositivo personal, fuera de los filtros corporativos, el ataque puede eludir las defensas y comprometer los sistemas internos.
Además, una vez involucrado el dispositivo móvil, El malware puede propagarse y robar información adicional y facilitar el movimiento lateral a otros sistemas conectados.
Las consecuencias de estos ataques pueden ser graves: robo de credenciales, acceso a cuentas corporativas, filtración de datos confidenciales y fraude financiero. El informe Kaspersky así lo señala Esta técnica de evasión de bajo coste se está consolidando como una de las más efectivas y persistentes.con tendencia a crecer en 2026.
El daño reputacional y las pérdidas financieras pueden ser importantes, especialmente en organizaciones que no cuentan con protocolos de capacitación o herramientas avanzadas de análisis de imágenes en sus sistemas de correo electrónico.
Cómo protegerse del fraude con códigos QR
Los expertos recomiendan varias medidas para mitigar el riesgo:
- Formación continua: Eduque a los empleados sobre cómo identificar correos electrónicos sospechosos y los peligros de escanear códigos QR recibidos por correo electrónico.
- No escanee códigos QR de correos electrónicos no verificados: En caso de duda, consulte con el remitente a través de otro canal o utilice únicamente aquellos proporcionados por fuentes confiables.
- Refuerzo de Credencial: Implemente autenticación multifactor y controles de acceso para reducir el impacto si las claves se ven comprometidas.
- Soluciones de seguridad actualizadas: Adopte herramientas de análisis de imágenes y bloqueo de archivos adjuntos sospechosos.
- Borrar políticas de gestión de correo electrónico y archivos adjuntos: Limite la apertura de documentos y enlaces desconocidos e informe incidentes sospechosos a los equipos de TI.
La creciente tendencia de utilizar códigos QR maliciosos en los correos electrónicos es una llamada de atención para empresas y usuarios individuales. La prevención y la educación son las mejores defensas contra estos ataques, que explotan la confianza y la rutina digital.
