Quishing:

el phishing que llega por código QR

Ciberseguridad para todos  |  unfantasmaenelsistema.com

Durante años nos han repetido el mismo consejo: «antes de pulsar un enlace, pasa el ratón por encima y mira a dónde apunta». Es un buen consejo… para un enlace en un correo abierto en el ordenador. Pero un código QR no tiene texto que leer, no se puede «pasar el ratón por encima», y casi siempre lo escaneamos con el móvil, donde la barra de direcciones es diminuta y la prisa es máxima. Los atacantes se han dado cuenta, y de ahí nace el quishing: phishing en el que el cebo no es un enlace escrito, sino un código QR.

El término sale de juntar «QR» y «phishing». La técnica no inventa nada nuevo en el fondo —el objetivo sigue siendo llevarte a una página falsa o hacerte instalar algo— pero cambia el envoltorio lo justo para saltarse buena parte de las defensas y de los reflejos que hemos aprendido. Este artículo explica por qué funciona, qué casos reales se están viendo, y cómo comprobar un QR antes de que sea tarde.

1. Qué es un código QR y por qué es un buen cebo

Un código QR es simplemente una forma de escribir texto en forma de cuadrícula de puntos para que una cámara lo lea rápido. Ese texto casi siempre es una dirección web (una URL), pero también puede ser un número de teléfono, un texto para enviar por SMS, unos datos de contacto o la configuración de una red wifi. El problema de seguridad es doble.

• No es legible por una persona: mirando los puntos no hay forma de saber a dónde te lleva. Confías a ciegas en lo que la cámara interprete
• Lo pintó cualquiera: generar un QR que apunte a la web que quieras es gratis y lleva diez segundos. No hay ningún registro central ni ninguna autoridad que valide qué hay detrás de un QR
• Se puede pegar encima de otro: una pegatina con un QR malicioso sobre el QR legítimo de un cartel es el ataque físico más simple que existe

Durante la pandemia nos acostumbramos a escanear QR para todo: la carta del restaurante, el registro de aforo, el certificado. Ese hábito adquirido —escanear sin pensar— es exactamente lo que explota el quishing.

2. Por qué el QR se salta las defensas

2.1 Los filtros del correo no «ven» dentro de la imagen

Las pasarelas de seguridad del correo llevan años analizando enlaces: comparan cada URL con listas de dominios maliciosos, siguen las redirecciones, puntúan el riesgo. Un código QR, en cambio, llega como una imagen. Muchos sistemas ni siquiera intentan descodificar el QR que viaja dentro de un adjunto o de un PDF, así que la URL peligrosa nunca se llega a evaluar. El correo entra en la bandeja de entrada con buena nota.

2.2 El salto al móvil rompe la cadena de protección

El correo sospechoso llega al ordenador del trabajo, que está detrás de un proxy, un antivirus corporativo y un DNS que filtra dominios peligrosos. Pero el QR te obliga a sacar el móvil personal para escanearlo. Ese móvil normalmente no tiene ninguna de esas protecciones, va por la red de datos en vez de por la wifi de la empresa, y encima muestra la URL en una barra estrecha donde «banco-seguro-clientes.com» y «banco.com» se parecen mucho.

3. Casos reales que ya se están viendo

• Parquímetros y zonas de aparcamiento: pegatinas con un QR falso sobre la máquina, que llevan a una web clonada del servicio de pago municipal donde se piden los datos de la tarjeta. Se ha visto en varias ciudades de Reino Unido, Estados Unidos y España
• Cartas en papel del banco: sobres de aspecto oficial que dicen «active su nueva app» o «verifique sus datos» con un QR. El papel da una sensación de legitimidad que un correo no tiene
• Multas y notificaciones de la Administración: falsos avisos de tráfico o de Correos con un QR para «pagar la sanción con descuento» antes de una fecha límite, usando la urgencia como palanca
• Menús de restaurante y carteles en la calle: QR manipulados en mesas, marquesinas o carteles de eventos, que redirigen a páginas de «encuesta con premio» o de descarga de una app
• Correo corporativo: mensajes que imitan a Microsoft o al departamento de informática pidiendo «reactivar la autenticación» mediante un QR, para robar credenciales y el segundo factor
• Paquetería: SMS o notas de «entrega fallida» con un QR para reprogramar el envío pagando una pequeña tasa

4. Cómo se ve un ataque de quishing por dentro

El recorrido típico, contado desde el lado de la víctima, tiene siempre la misma forma:

• 1. Entrega: llega el cebo —correo, carta, pegatina— con un QR y un motivo para escanearlo ya
• 2. Escaneo: la cámara del móvil descodifica el QR y muestra una URL, a menudo acortada o con un dominio parecido al real
• 3. Redirección: la primera dirección puede ser legítima o neutra y saltar después a la web falsa, para despistar a los análisis automáticos
• 4. Página clonada: una copia visualmente idéntica a la del banco, la empresa de paquetería o el servicio municipal, pedida a través de HTTPS (el candado no garantiza nada sobre quién está detrás)
• 5. Recogida: introduces usuario, contraseña, datos de tarjeta o el código del SMS; todo se envía al atacante en tiempo real
• 6. Uso inmediato: con el segundo factor recién capturado, quien ataca inicia sesión o hace el cargo en cuestión de segundos, antes de que el código caduque

En algunas variantes el QR no lleva a una web sino que propone descargar una aplicación fuera de la tienda oficial; esa app pide permisos amplios (SMS, accesibilidad) y sirve para interceptar los códigos de verificación directamente en el dispositivo.

5. Cómo comprobar un QR antes de abrirlo

5.1 Antes de escanear

• Mira el soporte físico: ¿hay una pegatina encima de otro código? ¿los bordes no cuadran, el papel es distinto, el QR tapa parte del texto impreso? Desconfía
• Pregúntate quién te lo manda y por qué: un banco de verdad no te pide por carta ni por correo que escanees un QR para «verificar» nada. Ante la duda, entra tú a la web o la app oficial escribiendo la dirección a mano
• Sospecha de la urgencia: «antes de 24 horas», «o se bloqueará su cuenta», «multa con recargo». La prisa es la herramienta principal del engaño

5.2 Al escanear

• Usa la cámara del propio móvil o una app que muestre la URL completa y te pida confirmación antes de abrir nada. Evita las apps de escaneo que abren el enlace directamente
• Lee el dominio de derecha a izquierda: lo que importa es la parte justo antes de la primera barra («/»). En `micuenta.banco.com.seguro-login.net/…` el dominio real es `seguro-login.net`, no `banco.com`
• Desconfía de los acortadores (bit.ly, t.co, cutt.ly…) en contextos oficiales; puedes expandir el enlace con un servicio de «unshorten» antes de abrirlo
• Fíjate en errores sutiles: guiones de más, letras cambiadas (`0` por `o`, `rn` por `m`), dominios acabados en `.top`, `.xyz` o `.info` para servicios que normalmente usan `.com` o `.es`

5.3 Si la página ya se ha abierto

• No introduzcas nada. Ni usuario, ni contraseña, ni tarjeta, ni el código del SMS
• Comprueba la dirección con calma; si algo no cuadra, cierra la pestaña
• No «pruebes a ver qué pasa» metiendo datos falsos: algunas páginas registran también lo que escribes y descartas

6. Qué hacer si has picado

7. Si gestionas una organización

• Forma al personal con el caso concreto del QR: el reflejo de «pasar el ratón por encima» no aplica y hay que sustituirlo por otro
• Revisa si tu pasarela de correo descodifica los QR de imágenes y adjuntos; varias soluciones ya lo hacen y conviene activarlo
• Aplica filtrado de DNS también en los dispositivos móviles gestionados, no solo en la red de la oficina
• Prioriza métodos de segundo factor resistentes al phishing (llaves FIDO2 / passkeys) frente a los códigos por SMS o por aplicación, que sí se pueden capturar en tiempo real
• Ten un canal claro y sin fricción para que la gente reporte un correo o un QR sospechoso sin miedo a «molestar»

Conclusión

El quishing no es una amenaza nueva en su objetivo —sigue siendo phishing— pero sí en su forma de colarse: convierte un enlace en una imagen que los filtros no leen y que tú tampoco puedes leer, y te empuja al móvil, donde tienes menos defensas y menos tiempo para dudar. Funciona porque durante años nos enseñaron a desconfiar de los enlaces escritos, pero nadie nos enseñó a desconfiar de un cuadradito de puntos.

La defensa es un cambio de reflejo sencillo: un QR es un enlace que no puedes ver, así que trátalo con más recelo, no con menos. Mira siempre la URL completa antes de abrirla, y si acabas en una pantalla que te pide credenciales o datos de pago, cierra y entra al servicio por tu cuenta. Ese gesto, repetido, desactiva la mayor parte de estos ataques.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)