México se ubicó entre los tres países del mundo con más detecciones de una modalidad de ciberestafa conocida como quishing o phishing mediante códigos QR durante la primera mitad de 2026.
De acuerdo con el informe ESET Threat Report H1 2026, elaborado por ESET Latinoamérica, el país concentró 6% de los registros mundiales de esta amenaza, por debajo de Estados Unidos y España, que registraron 19 y 17%, respectivamente. El país también encabezó los registros regionales de esta modalidad en América Latina.
Cabe mencionar que el quishing, término que combina las palabras QR y phishing, es una técnica de ingeniería social en la que los ciberdelincuentes ocultan una dirección maliciosa dentro de un código QR, en lugar de mostrar un enlace visible.
A diferencia del phishing tradicional, en el que el usuario puede leer y revisar la dirección antes de abrirla, el destino de estos códigos permanece oculto hasta que son escaneados.
Esta característica permite que los atacantes trasladen la interacción hacia los teléfonos celulares, donde pueden dirigir a las víctimas a páginas falsas o llevarlas a realizar acciones dentro de aplicaciones legítimas.
Los códigos pueden llegar por medios digitales, como correos electrónicos, archivos PDF adjuntos, mensajes de WhatsApp o SMS, sitios web y perfiles de redes sociales, pero también distribuirse físicamente mediante carteles, folletos, papeles colocados en parabrisas de vehículos o adhesivos pegados encima de códigos QR legítimos.
Según el estudio, a nivel global, los códigos QR estuvieron presentes en alrededor de 11% de los correos electrónicos de phishing analizados por la compañía durante el mismo periodo, mientras que QRCode/Phishing ocupó el séptimo lugar entre las principales amenazas distribuidas por correo electrónico.
Jonathan Ramos, investigador de Seguridad Informática de ESET Latinoamérica, explicó que dicha modalidad modifica el entorno en el que ocurre el engaño:
“Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad”, comentó.
Un ejemplo de estas campañas detectado por ESET durante el semestre fue la suplantación de identidad de DocuSign, plataforma de firma electrónica utilizada por empresas y una de las marcas más empleadas por los atacantes en campañas de phishing observadas en América Latina durante ese periodo.
Los correos imitaban una notificación de la compañía para informar que un documento estaba listo para revisión y firma, pero en lugar de incluir un enlace mostraban un código QR que el destinatario debía escanear para continuar.
El mensaje utilizaba la identidad visual de DocuSign y presentaba un botón amarillo con la indicación de escanear el código para revisar y completar el documento, aunque este no dirigía a ningún sitio.
Debido a que el correo contenía poco texto y la dirección de destino permanecía oculta dentro de la imagen, había pocas señales para que el usuario identificara el engaño antes de utilizar la cámara de su teléfono.
Una vez escaneado el código, los delincuentes pueden dirigir a las víctimas a páginas falsas de inicio de sesión de bancos, servicios de correo electrónico o aplicaciones corporativas para robar sus credenciales o secuestrar sus sesiones.
Es importante señalar que esta técnica puede utilizarse para abrir pantallas de pago con datos precargados y facilitar operaciones fraudulentas, así como para conducir a sitios desde los que se descargan aplicaciones maliciosas fuera de las tiendas oficiales.
er
