Alerta por phishing con códigos QR: los ataques se multiplicaron por cinco

 

Kaspersky advierte que esta técnica expone a las empresas al robo de credenciales, fraudes y brechas de seguridad, especialmente a través de teléfonos corporativos, que suelen contar con menores niveles de protección que los equipos de escritorio o portátiles. 13 de enero de 2026

Los expertos de Kaspersky identificaron un aumento significativo de correos electrónicos de phishing que incorporan códigos QR maliciosos. Las detecciones se incrementaron de 46,969 en agosto a 249,723 en noviembre de 2025 (un crecimiento de más de cinco veces), evidenciando cómo los ciberdelincuentes están explotando cada vez más los códigos QR como vector de ataque. Esta tendencia representa una señal de alerta para las empresas, ya que los códigos QR permiten ocultar enlaces maliciosos, incrementando el riesgo de robo de credenciales, accesos no autorizados y posibles brechas de datos en entornos corporativos.

Número de correos electrónicos de phishing bloqueados con enlaces maliciosos mediante códigos QR.

Estos códigos QR suelen estar incrustados directamente en el cuerpo del correo electrónico o, aún más comúnmente, dentro de archivos adjuntos en PDF, una evolución que oculta los enlaces de phishing y anima a los usuarios a escanearlos con teléfonos móviles, que pueden tener una seguridad más débil que las PC de trabajo.

Un correo electrónico de phishing que invita a abrir el PDF adjunto.

PDF adjunto con un código QR.

Los códigos QR maliciosos aparecen con frecuencia tanto en campañas masivas de phishing como en ataques dirigidos. Los enlaces incrustados en ellos pueden llevar a: Formularios de phishing que suplantan páginas de inicio de sesión de servicios como cuentas de Microsoft o portales corporativos internos, diseñados para robar nombres de usuario, contraseñas y otras credenciales. Falsas notificaciones de RR. HH. que instan a los empleados a revisar o firmar documentos, como calendarios de vacaciones, o incluso a consultar listas de personal despedido, dirigiéndolos finalmente a sitios de robo de credenciales. Facturas o confirmaciones de compra fraudulentas en archivos PDF adjuntos, a menudo combinadas con tácticas de vishing (phishing por voz) que incitan a las víctimas a llamar a números de teléfono proporcionados para “cancelar” o aclarar la transacción, lo que permite nuevos ataques de ingeniería social. Estas tácticas explotan la confianza en las comunicaciones empresariales rutinarias y pueden derivar en robo de credenciales, toma de control de cuentas, filtraciones de datos y fraude financiero. Más allá del volumen de correos detectados, el principal riesgo para las empresas radica en la interacción del usuario. A diferencia de los enlaces tradicionales, los códigos QR trasladan la decisión de seguridad al empleado, quien suele escanearlos de forma automática y fuera del entorno protegido del correo corporativo. Este factor humano, combinado con la urgencia y legitimidad aparente de los mensajes, reduce la capacidad de detección del fraude y aumenta la probabilidad de que las credenciales corporativas sean comprometidas, abriendo la puerta a accesos no autorizados y ataques posteriores dentro de la organización. “Los códigos QR maliciosos se han convertido en una de las herramientas de phishing más eficaces durante 2025, y así se espera que continúen en 2026, especialmente cuando se ocultan en archivos PDF adjuntos o se presentan como comunicaciones empresariales legítimas. Los atacantes están explotando esta técnica de evasión de bajo coste para engañar a los empleados. Sin capacidades avanzadas de análisis de imágenes en el correo electrónico y sin prácticas seguras de escaneo por parte de los usuarios, las organizaciones se exponen a ataques con consecuencias posteriores que pueden traducirse en pérdidas financieras y daños reputacionales significativos”, asegura Leandro Cuozzo, analista de seguridad para América Latina en Kaspersky. Para defenderse frente a esta amenaza creciente, los expertos de Kaspersky recomiendan: Capacitar de forma continua a los empleados, especialmente en la identificación de correos sospechosos y en los riesgos de escanear códigos QR recibidos por email. El factor humano sigue siendo un elemento crítico en este tipo de ataques. Reforzar la protección de credenciales corporativas, mediante autenticación multifactor y controles de acceso, para minimizar el impacto de posibles robos de credenciales derivados de campañas de phishing. Proteger el correo electrónico corporativo con soluciones especializadas, como Kaspersky Security for Mail Server, que garantizan un intercambio de correo fiable y seguro y permiten bloquear spam, phishing, BEC, infecciones transmitidas por correo electrónico y ataques mediante códigos QR. Para más información sobre cómo proteger la seguridad empresarial, visita el blog de Kaspersky.

Acerca de Kaspersky Kaspersky es una empresa global de ciberseguridad y privacidad digital fundada en 1997. Con más de mil millones de dispositivos protegidos hasta la fecha contra ciberamenazas emergentes y ataques dirigidos, la profunda inteligencia sobre amenazas y experiencia en seguridad de Kaspersky se transforma constantemente en soluciones y servicios innovadores para proteger a individuos, empresas, infraestructuras críticas y gobiernos en todo el mundo. El completo portafolio de seguridad de la empresa incluye protección líder para la vida digital de dispositivos personales, productos y servicios de seguridad especializados para empresas, así como soluciones Cyber Immune para combatir amenazas digitales sofisticadas y en evolución. Ayudamos a millones de personas y a cerca de 200,000 clientes corporativos a proteger lo que más valoran. Más información en: www.kaspersky.com