Aumentan los fraudes con códigos QR en correos electrónicos: lo que debes saber de estos ataques
El avance de la digitalización ha creado nuevas oportunidades para la ciberdelincuencia, y recientemente los fraudes con códigos QR en correos electrónicos se han consolidado como una de las amenazas más preocupantes para empresas y usuarios.
Datos recientes de la firma de ciberseguridad Kaspersky revelan que la detección de mensajes fraudulentos que incluyen estos códigos pasó de menos de 50.000 en agosto a casi 250.000 en noviembre de 2025, lo que refleja una tendencia alarmante.
¿Por qué los códigos QR son atractivos para los atacantes?
El principal atractivo de los códigos QR para los atacantes radica en su capacidad para ocultar enlaces maliciosos y evadir los sistemas de seguridad convencionales. A diferencia de los hipervínculos tradicionales, los códigos QR trasladan la decisión de clic al usuario, quien suele escanearlos con su teléfono móvil fuera del entorno protegido del correo empresarial.
Este cambio debilita los controles y facilita la obtención de credenciales, el acceso no autorizado y la filtración de información sensible.
¿Cómo se ejecutan estos fraudes?
La táctica más común consiste en incrustar el código QR directamente en el cuerpo del correo o, en casos más sofisticados, dentro de archivos adjuntos en PDF. El usuario recibe un mensaje que aparenta provenir de servicios legítimos como Microsoft, plataformas corporativas o áreas de recursos humanos.
Entre los ganchos habituales se encuentran:
- Notificaciones de seguridad: Alertas falsas sobre actividad sospechosa en la cuenta que requieren verificación inmediata.
- Actualizaciones de software: Ofertas de actualizaciones de software aparentemente oficiales que, al ser escaneadas, descargan malware.
- Documentos importantes: Correos que simulan la recepción de documentos urgentes o facturas que requieren acceso a través del código QR.
- Solicitudes de recursos humanos: Mensajes que solicitan información personal o laboral bajo el pretexto de encuestas o beneficios corporativos.
En todos los escenarios, la urgencia y la apariencia legítima del mensaje inducen al usuario a escanear el código QR sin comprobar su autenticidad.
El papel de la interacción humana
El riesgo principal se encuentra en la interacción humana. Los empleados, habituados a escanear códigos QR en restaurantes, eventos y actividades cotidianas, tienden a repetir este comportamiento en el entorno laboral, muchas veces desde sus dispositivos personales.
Al hacerlo fuera de los filtros de seguridad corporativos, los ataques pueden eludir las defensas y comprometer sistemas internos.
Una vez que el dispositivo móvil participa en el ataque, el malware puede propagarse, robar información adicional y facilitar el acceso a otros sistemas conectados.
Consecuencias de un ataque exitoso
Las consecuencias incluyen robo de credenciales, acceso a cuentas empresariales, filtración de datos sensibles y fraude financiero. El informe mencionado advierte que esta técnica de bajo costo se está consolidando como una de las más eficaces y persistentes, con perspectivas de crecimiento en 2026.
El daño reputacional y las pérdidas económicas pueden ser considerables, sobre todo en organizaciones sin políticas de capacitación ni herramientas de análisis de imágenes en sus sistemas de correo.
¿Cómo protegerse de estos fraudes?
Para mitigar los riesgos, los expertos recomiendan:
- Educación y concienciación: Capacitar a los empleados sobre los riesgos asociados con los códigos QR en correos electrónicos y enseñarles a identificar señales de alerta.
- Verificación de la fuente: Antes de escanear un código QR, verificar la legitimidad del remitente y el propósito del mensaje.
- No escanear desde dispositivos personales: Evitar escanear códigos QR relacionados con el trabajo desde dispositivos personales. Utilizar siempre dispositivos corporativos con las medidas de seguridad adecuadas.
- Análisis de imágenes: Implementar soluciones de seguridad que analicen las imágenes en los correos electrónicos, incluyendo los códigos QR, para detectar contenido malicioso.
- Autenticación multifactor: Habilitar la autenticación multifactor en todas las cuentas importantes para agregar una capa adicional de seguridad.
- Software de seguridad actualizado: Mantener actualizado el software antivirus y antimalware en todos los dispositivos.
- Reportar incidentes: Establecer un protocolo para que los empleados reporten cualquier correo electrónico sospechoso o incidente de seguridad.
“La clave para combatir estos ataques reside en la combinación de tecnología y concienciación. Las herramientas de seguridad pueden ayudar a detectar y bloquear amenazas, pero la formación de los empleados es fundamental para evitar que caigan en la trampa.”
El futuro de los fraudes con códigos QR
Se espera que los fraudes con códigos QR sigan evolucionando y volviéndose más sofisticados en el futuro. Los atacantes buscarán nuevas formas de evadir las defensas y explotar la confianza de los usuarios.
Por lo tanto, es crucial que las empresas y los usuarios se mantengan informados sobre las últimas amenazas y adopten medidas proactivas para protegerse.
El incremento de los fraudes con códigos QR en correos electrónicos es una advertencia para empresas y usuarios. La prevención y la formación continua siguen siendo las mejores armas para enfrentar estas amenazas que explotan la confianza y la rutina digital cotidiana.
