Un correo de phishing con código QR te pide que escanees un código, normalmente para "volver a verificar" una cuenta, firmar un documento o restablecer una contraseña. Los atacantes usan códigos QR porque a los filtros de correo les puede costar leer el enlace dentro de una imagen, y porque al escanear pasas al móvil, donde es más difícil detectar una página de inicio de sesión falsa.
El phishing existe desde que existe el correo electrónico, pero la variante con código QR, a menudo llamada quishing, es un giro más reciente. En lugar de un enlace azul sobre el que puedes pasar el ratón, hay una imagen cuadrada. Esta guía explica por qué a los atacantes les gusta este método, qué aspecto suelen tener estos correos y qué pueden hacer tanto los empleados como las empresas para protegerse.
Por qué los atacantes meten códigos QR en los correos
Desde el punto de vista de un delincuente, un código QR resuelve varios problemas a la vez.
- Oculta el enlace. Las personas no pueden leer un código QR, así que no ven de un vistazo una dirección web sospechosa.
- Puede colarse entre los filtros. Muchas herramientas de seguridad del correo comparan los enlaces de texto con listas de sitios peligrosos conocidos. Un enlace dentro de una imagen es más difícil de inspeccionar, aunque las herramientas modernas cada vez analizan más las imágenes.
- Te lleva a otro dispositivo. Lees el correo en un portátil de trabajo protegido por la seguridad de la empresa, pero escaneas con un móvil personal que puede tener menos protecciones.
- Las pantallas pequeñas esconden detalles. En el móvil, la barra de direcciones es corta y una página de inicio de sesión falsa se parece mucho a la real.
- Parece moderno y oficial. Bancos, aerolíneas y empresas usan códigos QR, así que un código en un correo no levanta sospechas automáticamente.
Cómo es un correo de phishing con código QR
Estos correos varían, pero suelen seguir patrones conocidos. Algunos temas habituales:
- "Tu contraseña caduca hoy. Escanea para mantener tu contraseña actual."
- "Debes volver a activar la autenticación multifactor. Escanea con tu móvil."
- "Tienes un documento compartido pendiente. Escanea para verlo."
- "Se han actualizado los datos de tu nómina o de tu bonus."
- "Un paquete o una factura requiere tu confirmación."
Señales de alerta típicas:
- Urgencia: un plazo muy corto o la amenaza de bloquear tu cuenta.
- Un remitente extraño: el nombre visible dice "Soporte informático" o una marca conocida, pero la dirección de correo no coincide.
- Poco texto y un código grande: el mensaje es casi todo una imagen con un código QR y una instrucción breve.
- Saludos genéricos en lugar de tu nombre.
- Una página de inicio de sesión tras escanear: el código lleva a una página que te pide tu correo y contraseña del trabajo, o un código de un solo uso.
El último punto es el más importante. Un departamento de informática de verdad rara vez necesita que inicies sesión mediante un código QR enviado por correo.
Qué hacer si recibes uno
Si eres empleado y te llega un correo sospechoso con un código QR:
- No lo escanees con el móvil.
- No lo reenvíes a compañeros para preguntar si es real, porque alguien podría escanearlo.
- Notifícalo con el botón de aviso de phishing de tu empresa o contactando con informática por un canal conocido.
- Revisa la cuenta por tu cuenta. Si el correo menciona tu contraseña o un documento, entra en el servicio directamente desde su dirección o app habitual.
- Bórralo una vez notificado, si así lo indica el procedimiento de tu empresa.
Si ya has escaneado el código e introducido tus datos, actúa rápido. Cambia la contraseña, avisa a informática de inmediato y sigue los pasos de nuestra guía sobre qué hacer si has escaneado un código QR malicioso.
Fuera del trabajo se aplican los mismos hábitos. Si quieres saber adónde lleva un código sin abrirlo, un lector que muestre primero el destino, como el lector de códigos QR online de QR-TH, te permite mirar antes de hacer clic.
Cómo protegen las empresas a su plantilla
Ninguna herramienta por sí sola detiene todos los intentos de phishing con QR. Una buena protección combina tecnología, procesos y personas.
Herramientas de correo y seguridad
- Usa una seguridad de correo capaz de detectar códigos QR en imágenes y adjuntos y de comprobar los enlaces que contienen
- Mantén activas la comprobación de enlaces y la protección de navegación segura en los dispositivos de la empresa y, cuando proceda, en los móviles gestionados
- Marca claramente los correos externos, sobre todo los que usan nombres que suenan internos
Protección fuerte del inicio de sesión
- Exige autenticación multifactor en todas las cuentas de la plantilla
- Prioriza métodos resistentes al phishing, como las llaves de acceso (passkeys) o las llaves de seguridad, cuando sea posible, ya que los códigos de un solo uso todavía se pueden sonsacar en una página falsa
- Fomenta las apps de autenticación frente a los SMS. Nuestra guía sobre la verificación en dos pasos explica las opciones.
- Vigila los inicios de sesión inusuales, como accesos desde países o dispositivos nuevos
Procesos claros
- Deja claro como norma que informática nunca pedirá iniciar sesión mediante un código QR enviado por correo
- Ofrece una forma sencilla de notificar mensajes sospechosos y agradece a quien la use
- Ten un plan para restablecer contraseñas y cerrar sesiones rápidamente cuando alguien avise de un error
Formación que se queda
- Muestra en las formaciones ejemplos realistas de correos de phishing con QR
- Enseña una pregunta sencilla: "¿Por qué iba a hacer falta un código QR para esto?"
- Haz simulacros de phishing que incluyan códigos QR, seguidos de comentarios amables en lugar de culpas
Quien se siente seguro al reconocer un error lo comunica antes, y eso limita el daño.
Códigos QR legítimos en los correos
No todos los códigos QR de un correo son maliciosos. Las entradas para eventos, las tarjetas de embarque y algunas vinculaciones de inicio de sesión los usan de forma legítima. La diferencia suele estar en el contexto: esperabas el correo, tiene que ver con algo que hiciste y el código es algo que muestras o usas en una app conocida, no un motivo para escribir tu contraseña en una página desconocida.
Las empresas que envían códigos QR auténticos pueden ayudar explicando para qué sirve el código, incluyendo cerca un enlace reconocible como alternativa y usando dominios de confianza.
Preguntas frecuentes
¿Por qué los correos de phishing usan códigos QR en vez de enlaces?
Porque el enlace queda oculto tanto para las personas como para algunos filtros, y porque escanear lleva a la víctima al móvil, donde los controles de seguridad y las pistas visuales suelen ser más débiles.
¿Puede mi proveedor de correo bloquear el phishing con código QR?
Muchos servicios de seguridad del correo ya analizan las imágenes en busca de códigos QR y comprueban los enlaces, pero ninguno lo detecta todo. Tu propia prudencia sigue siendo una capa importante.
¿Es seguro escanear un código QR de un correo de mi banco?
Ten cuidado. Los bancos rara vez piden iniciar sesión mediante un código QR en un correo. Abre la app oficial del banco o escribe tú mismo su dirección.
¿Qué hago si introduje mi contraseña del trabajo después de escanear?
Cámbiala de inmediato, avisa a tu equipo de informática o de seguridad y deja que revisen si hay inicios de sesión sospechosos. La rapidez marca una diferencia real.
Mira antes de abrir
El phishing con QR funciona cuando la gente escanea sin pensar. Convierte la comprobación en un hábito: cuando te llegue un código inesperado, usa la herramienta para escanear un código QR online de QR-TH y ver adónde lleva antes de abrir nada.