Quishing: cómo funciona el phishing con códigos QR y cómo frenarlo en tu empresa

Por Kike Gandia · Co-Fundador y CEO, OSCP

El quishing es phishing con códigos QR: en lugar de un enlace, el mensaje incluye un QR que lleva a una página falsa, casi siempre un inicio de sesión de Microsoft 365 o Google Workspace. Funciona porque la URL viaja dentro de una imagen que muchos filtros no analizaban, porque se escanea con el móvil, fuera del EDR, el proxy y el filtrado DNS de la empresa, y porque en una pantalla pequeña la dirección se revisa peor. Esta guía explica los escenarios típicos en una empresa, cómo suele terminar, las señales de alerta y los controles técnicos y de formación que lo frenan.

Qué es el quishing y por qué funciona

El quishing (de QR y phishing, también llamado qrishing) es una variante del phishing en la que el enlace malicioso no aparece como texto, sino codificado en un código QR. La víctima lo escanea con el móvil y acaba en una página que imita un inicio de sesión, una pasarela de pago o una descarga. En un entorno corporativo el objetivo casi siempre es el mismo: las credenciales de la cuenta de trabajo.

Funciona por tres motivos que se suman:

• La URL va dentro de una imagen. Los filtros de correo se diseñaron para analizar enlaces, y un QR es una imagen sin enlace visible. Durante años no era habitual decodificar cada imagen de cada mensaje, y estos correos suelen llevar muy poco texto, lo que deja aún menos señales al filtro.
• El escaneo saca al usuario del perímetro. El correo llega al portátil corporativo, protegido por EDR, proxy y filtrado DNS, pero el QR se escanea con el móvil, muchas veces personal y sin ninguna de esas capas. El clic que la empresa podría haber bloqueado ocurre en un dispositivo que no ve.
• En el móvil la URL se ve peor. La pantalla pequeña, la barra de direcciones recortada y la costumbre de abrir lo que propone la cámara hacen que pasen desapercibidas señales que alguien notaría en un ordenador.

No es un fenómeno marginal: según el Microsoft Digital Defense Report 2026, Defender for Office 365 detectó más de 145 millones de ataques de phishing con códigos QR entre julio de 2025 y junio de 2026.

Escenarios típicos de quishing en una empresa

El QR puede llegar por casi cualquier canal. Estos son los escenarios que más se repiten y el control que corta cada uno:

Los tres primeros buscan credenciales corporativas y son los que más deben preocupar a un responsable de IT. Los físicos suelen buscar los datos de la tarjeta del propio empleado, pero entran por el mismo hábito: escanear sin mirar a dónde lleva.

Quishing por correo: el patrón de la «verificación de seguridad»

El escenario corporativo por excelencia es un correo que suplanta a Microsoft, al departamento de IT o a una plataforma de firma electrónica y pide escanear un QR «desde tu móvil» para completar una verificación. INCIBE documentó en agosto de 2023 una campaña de este tipo dirigida a empresas: correos con el nombre del destinatario y de su empresa, asuntos como «Security Authentication for your account», a menudo enviados desde cuentas ya comprometidas, y un QR que llevaba a una copia del inicio de sesión de Microsoft con la dirección de la víctima ya rellenada. INCIBE advertía de que el método podía eludir herramientas de seguridad y funcionar incluso con doble factor de autenticación.

Las variantes habituales:

• El QR en el cuerpo del correo, como imagen y con el mínimo texto posible para no dar pistas al filtro.
• El QR dentro de un PDF o un documento adjunto, que obliga al filtro a abrir el fichero y decodificar la imagen que contiene.
• El QR que no es una imagen limpia: dibujado con tablas o bloques de color, partido en dos imágenes que el ojo junta y el filtro analiza por separado, o anidado dentro de otro código. Son técnicas de evasión que los proveedores de seguridad de correo han documentado en kits de phishing comerciales.

El pretexto casi siempre crea urgencia y empuja al móvil: «tu MFA caduca hoy», «tienes un documento pendiente de firma», «actualiza tus datos antes del cierre de nóminas». Que un correo te mande al teléfono para algo que podrías hacer con un clic desde el ordenador en el que lo estás leyendo ya es, por sí mismo, una señal.

QR físicos y QR en mensajería

Fuera del correo, el quishing aprovecha los lugares donde escanear un QR es lo normal. El caso más conocido es la pegatina con un QR falso colocada encima del legítimo en un parquímetro, una carta de restaurante, un cartel o un folleto. El FBI alertó en enero de 2022 de la manipulación de códigos QR para desviar pagos y robar credenciales, y en España tanto INCIBE como la Policía Nacional han advertido de pegatinas fraudulentas en parquímetros y espacios públicos.

Para una empresa este escenario importa por dos motivos. El primero, porque el empleado que paga el aparcamiento de una visita a un cliente con la tarjeta de empresa expone un medio de pago corporativo. El segundo, porque los QR físicos también están dentro de la oficina: el cartel de la wifi de invitados, el de una encuesta interna, el de la cafetería o el de un evento. Cualquiera con acceso físico, incluido un visitante, puede pegar uno encima.

La mensajería añade otra variante: el QR que no lleva a una web, sino que vincula tu cuenta a un dispositivo del atacante. Aplicaciones como WhatsApp o Signal usan QR legítimos para conectar el ordenador con la cuenta del móvil; si alguien te convence de escanear con tu app un código que ha generado él, empieza a recibir tus conversaciones sin necesidad de ninguna contraseña. Google Threat Intelligence documentó en 2025 campañas que abusaban así de la vinculación de dispositivos de Signal. El control es sencillo y poco practicado: revisar de vez en cuando la lista de dispositivos vinculados.

Cómo suele terminar: robo de sesión con kits AiTM

El QR es solo el envoltorio. Lo que hay detrás suele ser un kit de phishing adversary-in-the-middle (AiTM) que se alquila como servicio. La página no es una copia estática del inicio de sesión: hace de intermediaria con el portal real de Microsoft o Google, de modo que la víctima ve el logotipo de su empresa, introduce la contraseña, aprueba el MFA y todo parece funcionar. Mientras tanto, el kit se queda con la cookie de sesión y el atacante la reutiliza desde su propio navegador sin volver a autenticarse.

A partir de ahí la secuencia es conocida:

• Acceso al buzón y a los ficheros con la identidad de la víctima.
• Persistencia: reglas de reenvío o de bandeja de entrada, registro de un método de MFA propio o consentimiento a una aplicación maliciosa.
• Explotación: fraude con facturas y cambios de cuenta bancaria, o phishing interno desde una cuenta legítima, que los compañeros se creen mucho más que un correo externo.

Por eso un MFA basado en códigos o en notificaciones no basta frente al quishing: el intermediario captura el código igual que captura la contraseña. El funcionamiento detallado del AiTM, las huellas que deja en los registros y la respuesta en Microsoft 365 están en nuestra guía sobre cómo atacan Microsoft 365.

Señales de alerta para el empleado

Un QR no se puede leer a simple vista, así que las señales están en el contexto y en lo que pasa justo después de escanearlo:

• Un correo que pide escanear un QR para iniciar sesión, verificar o «reactivar» algo. Ni Microsoft, ni Google, ni tu departamento de IT piden eso por correo.
• Urgencia y consecuencias: la cuenta se bloquea hoy, el documento caduca, la nómina no se pagará.
• Insistencia en usar el móvil para algo que podrías hacer desde el ordenador.
• Poco texto y mucho QR, o un adjunto cuyo único contenido es el código.
• Un dominio que no cuadra en la vista previa de la cámara: nombres parecidos al real, subdominios largos, acortadores o dominios sin relación con quien dice enviar el mensaje.
• Una página de inicio de sesión que ya trae tu correo rellenado después de escanear un QR que no esperabas.
• En papel: una pegatina encima de otro código, bordes que no encajan o un QR donde antes no había ninguno.
• Una página de pago o de inicio de sesión al escanear el QR de un cartel, cuando lo esperable era un menú, información o la descarga de una app oficial.

Controles técnicos: correo, identidad y móvil

Ningún control aislado resuelve el quishing. Lo que funciona es cortar la cadena en varios puntos:

• Filtro de correo que decodifique QR. Que extraiga la URL de las imágenes del cuerpo y de los adjuntos y la someta al mismo análisis de reputación y detonación que un enlace normal. Las soluciones principales ya lo hacen, pero conviene comprobar que la función está activa y que cubre los PDF, no solo las imágenes incrustadas.
• MFA resistente al phishing (FIDO2 o passkeys). Es el control que más reduce el impacto: la credencial está ligada criptográficamente al dominio legítimo, así que la página intermediaria no puede usarla y el kit AiTM se queda sin sesión que robar. Empieza por administradores, dirección y finanzas.
• Acceso condicional que exija dispositivo gestionado o conforme. Aunque el atacante obtenga la contraseña o la cookie, el acceso desde su equipo no cumple la política. Es especialmente eficaz si los usuarios solo deben trabajar desde equipos corporativos.
• Proteger el registro de métodos de MFA. En Microsoft Entra ID se puede condicionar la acción de registrar información de seguridad a ubicaciones de confianza o a un método fuerte, de modo que quien robe una sesión no pueda añadir su propio autenticador desde otro país.
• Gestión y protección de los móviles. MDM y protección frente a amenazas en los móviles corporativos, con filtrado web que bloquee dominios maliciosos al abrir el QR. En los móviles personales no suele ser viable, y por eso los controles de identidad pesan más que los del terminal.
• Mensajería bajo control. Limitar los mensajes externos en Teams a dominios de confianza y revisar los dispositivos vinculados en las aplicaciones de mensajería que use la empresa.
• Detección. Alertas por inicios de sesión correctos con MFA desde proveedores de red o ubicaciones anómalas, por nuevas reglas de bandeja de entrada y por métodos de MFA recién registrados.

Controles de proceso y formación: una regla que se pueda recordar

La formación contra el quishing funciona mejor con una regla corta que con una lista larga:

Un QR que te llega en un correo, un documento, un chat o un cartel nunca debe llevarte a introducir tu contraseña ni a «reactivar» nada.

La regla tiene un matiz que conviene explicar, porque existen QR legítimos de inicio de sesión: el que aparece al configurar Microsoft Authenticator, el que muestra el ordenador al entrar con una passkey guardada en el móvil o el de WhatsApp Web. La diferencia es que esos los genera la pantalla en la que tú mismo has empezado el proceso; nunca te llegan dentro de un mensaje.

El resto de hábitos que merece la pena entrenar:

• Leer la URL antes de abrirla. La cámara del móvil muestra el dominio antes de abrir la página; el hábito es leerlo, no tocar por inercia.
• Ir por el camino conocido. Si el mensaje dice que hay un documento pendiente o un problema con la cuenta, entrar escribiendo la dirección habitual o desde la app oficial, nunca desde el QR.
• Pagar desde la app oficial del aparcamiento o del servicio, no desde el QR pegado en la máquina.
• Reportar, también desde el móvil. El botón de reporte del cliente de correo, un canal claro con IT o con el SOC y la garantía de que reportar tarde es mejor que no reportar. Si alguien ya ha introducido credenciales, cada minuto cuenta para revocar las sesiones.

El tono importa: un empleado que teme una reprimenda no avisa de que ha escaneado algo raro, y ese aviso es lo que permite cortar un AiTM antes de que el atacante use la sesión robada.

Cómo incluir el quishing en una simulación de phishing

Una campaña de simulación que solo usa enlaces deja fuera uno de los vectores que más se usan hoy. Las plataformas de simulación habituales, incluido el entrenamiento de simulación de ataques de Microsoft Defender for Office 365, ya permiten cargas con QR. Qué tener en cuenta al incluirlas:

Algunos matices:

• El escaneo en sí no se puede medir: lo que registra la plataforma es la visita a la URL, que es el equivalente al clic.
• El tipo de dispositivo, con cuidado. Recoge solo lo necesario e inclúyelo en la información previa a la plantilla, porque se trata de datos de dispositivos que pueden ser personales.
• Varía el pretexto y el formato: QR en el cuerpo, en un PDF adjunto, en un mensaje de Teams o, si el alcance lo contempla, en un cartel físico dentro de la oficina.

Como en cualquier simulación, los resultados sirven para ajustar la formación y los controles, no para señalar a personas. Una campaña de quishing con muchas visitas desde móviles personales es, sobre todo, un argumento para priorizar el MFA resistente al phishing.

FAQ

¿Qué es el quishing?

Es phishing que usa un código QR en lugar de un enlace. El QR lleva a una página fraudulenta, normalmente un falso inicio de sesión de Microsoft 365 o Google Workspace o una pasarela de pago, para robar credenciales o datos de tarjeta. El nombre combina QR y phishing; también se le llama qrishing.

¿Por qué el filtro antispam no detecta los correos con QR?

Porque el enlace no está en el texto, sino codificado en una imagen, y durante años los filtros no decodificaban cada imagen de cada mensaje. Los filtros actuales ya extraen la URL de los QR, pero los atacantes responden con códigos dentro de PDF, dibujados con tablas o partidos en varias imágenes. Por eso el filtro es una capa más, no la solución.

¿El MFA protege del quishing?

Depende del tipo. El MFA por SMS, por código o por notificación no frena un kit AiTM, porque la página intermediaria captura el código y la sesión resultante. El MFA resistente al phishing, con FIDO2 o passkeys, sí lo neutraliza, porque la credencial solo funciona en el dominio legítimo.

¿Qué hago si he escaneado un QR sospechoso?

Si solo has abierto la página y no has escrito nada, ciérrala y avisa a IT para que bloqueen el dominio y busquen a otros destinatarios. Si has introducido la contraseña o aprobado un MFA, avisa de inmediato: hay que cambiar la credencial, revocar las sesiones y revisar reglas de correo y métodos de MFA añadidos. Avisar rápido importa más que haber caído.

¿Es seguro escanear el QR de un parquímetro o de la carta de un restaurante?

Normalmente sí, pero comprueba que no sea una pegatina sobre otro código y lee el dominio que muestra la cámara antes de abrirlo. Si el código te lleva a pagar o a iniciar sesión, usa la app oficial o escribe tú la dirección. Extrema la precaución si vas a pagar con una tarjeta de empresa.

¿Se puede incluir el quishing en una simulación de phishing?

Sí, y conviene hacerlo. Las plataformas de simulación permiten enviar correos con QR y medir visitas, credenciales introducidas y reportes. Requiere las mismas garantías que cualquier simulación —información previa, finalidad formativa y minimización de datos—, con especial cuidado porque el escaneo suele hacerse desde móviles personales.

¿Qué diferencia hay entre quishing y QRLjacking?

En el quishing el QR lleva a una web falsa donde la víctima entrega sus datos. En el QRLjacking la víctima escanea con su propia app un QR de inicio de sesión o de vinculación generado por el atacante, como el de WhatsApp Web, y sin escribir nada le da acceso a su cuenta desde el dispositivo del atacante.

Servicio relacionado

concienciación en ciberseguridad para empleados: formación práctica frente al phishing

Contenido relacionado

• Simulaciones de phishing para empresas, también con QR
• Cómo atacan Microsoft 365: phishing AiTM y robo de sesión
• Qué hacer si un empleado cae en un phishing
• Qué medir en una simulación de phishing
• Errores comunes en el acceso condicional de Entra ID
• Qué es la ingeniería social y sus técnicas

Fuentes

• INCIBE — Nueva campaña de phishing utilizando códigos QR (aviso para empresas, agosto de 2023)
• FBI IC3 — Cybercriminals Tampering with QR Codes to Steal Victim Funds (I-011822-PSA, enero de 2022)
• Microsoft Digital Defense Report 2026 — ataques de phishing con QR detectados por Defender for Office 365
• Microsoft Security Blog — Cómo Defender for Office 365 aborda el phishing con códigos QR (noviembre de 2024)

Entrenar a mi equipo frente al quishing