Los ataques mediante códigos QR aumentan un 146% en dos meses

Una tendencia especialmente preocupante en la reciente evolución del phishing es el aumento de los ataques basados en códigos QR. No se apoyan en nuevo malware ni en exploits sofisticados, sino que aprovechan algo mucho más sencillo: la confianza que los usuarios depositan cada día en los códigos QR. Durante los últimos meses, estos códigos se han convertido en una de las tácticas más utilizadas para dirigir a los usuarios hacia sitios maliciosos desde dispositivos móviles o entornos de navegador, donde la visibilidad de muchas herramientas de seguridad es muy limitada.

Los datos confirman que no se trata de una tendencia pasajera. Según Microsoft Threat Intelligence, las campañas de quishing pasaron de 7,6 millones en enero a 18,7 millones en marzo de 2026, lo que supone un aumento del 146% en tan solo dos meses. Lo más revelador no es la cifra en sí, sino lo que muestra sobre la evolución de las tácticas de los ciberdelincuentes: los atacantes están descubriendo que los códigos QR son una vía cada vez más eficaz para eludir las defensas tradicionales contra el phishing y llegar a los usuarios a través de procesos en los que confían. 

Para las organizaciones que buscan proteger sus redes y sus datos, esto representa un reto creciente. ¿Qué medidas pueden adoptar para garantizar la seguridad de sus empleados y usuarios? 

Por qué los atacantes están recurriendo a los códigos QR

El crecimiento de estas campañas refleja un cambio evidente en la forma en que se diseñan los ataques de phishing. Aunque el robo de credenciales sigue siendo el principal objetivo, los atacantes están modificando su forma de actuar. En lugar de apoyarse en señales de alerta fáciles de detectar, buscan integrarse en las rutinas cotidianas de los usuarios, que muchas veces actúan de forma automática.

Los códigos QR resultan especialmente eficaces porque forman parte habitual de nuestra vida diaria. Los utilizamos para acceder a servicios digitales, realizar pagos y completar procesos de autenticación. Al ser tan familiares, rara vez los examinamos con el mismo nivel de atención que un enlace incluido en un correo electrónico.

Además, estas campañas suelen seguir un patrón predecible:

• Utilizar herramientas y formatos conocidos para generar confianza.
• Redirigir a los usuarios a sitios de phishing convincentes.
• Recopilar credenciales o tokens de autenticación.
• Trasladar el ataque fuera del entorno del correo electrónico, donde la visibilidad es limitada.

Para las víctimas, la experiencia parece completamente normal, incluso cuando tiene su origen en una campaña de phishing. 

Un reto creciente para los equipos de seguridad

En este tipo de ataques, el código QR es solo el punto de entrada. El verdadero riesgo aparece después, cuando el usuario interactúa con el sitio malicioso.

Para los equipos de seguridad, ya no basta con identificar mensajes sospechosos, porque la actividad crítica tiene lugar en entornos donde resulta mucho más difícil obtener contexto inmediato.

Además, cuando las credenciales se ven comprometidas, los atacantes pueden acceder a aplicaciones corporativas, datos sensibles y servicios internos sin necesidad de utilizar malware complejo.

Por tanto, estos equipos ya no deberían preguntarse únicamente cómo consiguió entrar el atacante, sino qué ocurre después de que el usuario interactúe con el contenido malicioso. 

Por qué la visibilidad se ha convertido en el nuevo campo de batalla contra el phishing

Por este motivo, el endpoint sigue siendo una de las capas más críticas de la defensa moderna. Cuando un ataque basado en códigos QR tiene éxito, el dispositivo suele ser el primer lugar donde aparecen indicios de que algo no va bien. Por tanto, a medida que avanza el ataque, resulta esencial disponer de visibilidad sobre lo que está ocurriendo en ese dispositivo.

La protección tradicional de endpoints, centrada únicamente en la prevención, ya no es suficiente. Las organizaciones necesitan soluciones modernas de seguridad para endpoints que combinen prevención, detección y respuesta con una visibilidad continua sobre su actividad. Al analizar comportamientos, y no solo indicadores conocidos, estas soluciones pueden identificar actividades sospechosas, correlacionar automáticamente eventos relacionados y aportar el contexto que los equipos necesitan para distinguir una actividad rutinaria de un ataque real.

Esto proporciona capacidades clave como:

• Detección más rápida de actividades maliciosas en un dispositivo.
• Mayor visibilidad sobre lo que sucede después de la interacción inicial.
• Reducción del ruido mediante la correlación automatizada de incidentes.
• Respuesta rápida para contener los incidentes antes de que se propaguen.

También es importante destacar el papel fundamental de la búsqueda proactiva de amenazas, o threat hunting. A medida que los atacantes se vuelven más eficaces a la hora de camuflarse entre actividades aparentemente legítimas, la capacidad de buscar de forma proactiva indicadores de compromiso (IoC) deja de ser algo deseable para convertirse en una necesidad absoluta. Para las organizaciones más pequeñas que no cuentan con recursos internos suficientes, colaborar con un proveedor de MDR puede ayudar a cubrir esta carencia.

Esta visibilidad permite detectar con mayor rapidez accesos no autorizados, movimientos laterales e indicadores tempranos de compromiso, reduciendo el intervalo entre la intrusión y la respuesta. 

Uno de los aspectos más reveladores de los incidentes de quishing es que demuestran que los atacantes ya no necesitan técnicas extremadamente sofisticadas para tener éxito. Les basta con explotar hábitos cotidianos y aprovechar los momentos en los que bajamos la guardia.

Por ello, la prioridad pasa a ser la capacidad de supervisar qué ocurre después de la interacción inicial. Es precisamente en ese punto, cuando la actividad parece legítima, donde se marca la diferencia entre un evento rutinario y el comienzo de una brecha de seguridad. 

El quishing refleja esta nueva realidad: los atacantes no siempre necesitan malware sofisticado para alcanzar sus objetivos. Al explotar comportamientos de confianza de los usuarios, pueden eludir las defensas tradicionales y desplazar el ataque hacia entornos con una visibilidad limitada. Por eso, las organizaciones deben asegurarse de contar con una protección sólida para sus endpoints. La capacidad de observar su actividad, correlacionar eventos y responder con rapidez determina cada vez más si un ataque queda en un incidente aislado o se convierte en una brecha de seguridad a gran escala.