Los analistas de ESET Latinoamérica publicaron su Threat Report correspondiente al primer semestre de 2026, revelando que España y México se ubican entre los tres países con mayor número de correos de phishing que emplean códigos QR, solo detrás de Estados Unidos.

Datos clave del reporte

  • Estados Unidos lidera con el 19 % de los casos a nivel mundial.
  • España registra el 17 % y México el 6 % de las detecciones.
  • En total, los códigos QR aparecen en ≈ 11 % de los correos analizados por ESET durante el semestre.

Estos porcentajes colocan la amenaza conocida como QRCode/Phishing en el séptimo lugar entre las campañas maliciosas más frecuentes en correo electrónico.

¿Qué es el “quishing” y por qué se expande?

El término combina QR y phishing y describe la práctica de ocultar enlaces maliciosos dentro de un código QR. A diferencia del phishing tradicional, la víctima no puede inspeccionar la URL antes de escanear, lo que dificulta su detección.

Los atacantes insertan los códigos en correos, PDFs, mensajes de WhatsApp o SMS, e incluso en sitios web y perfiles de redes sociales. También los colocan físicamente sobre carteles o adhesivos, a veces superponiéndolos a códigos legítimos.

"Al pedir al objetivo que escanee un QR, el criminal traslada la interacción a un móvil, que suele estar menos protegido que la computadora de oficina", señaló Jonathan Ramos, investigador de seguridad en ESET Latinoamérica.

Esta estrategia aprovecha la creciente adopción de QR para pagos y trámites, ampliando la superficie de ataque.

Caso práctico: suplantación de DocuSign

Entre los ejemplos citados en el informe, se destaca un correo que imitaba una notificación de DocuSign, la conocida plataforma de firmas electrónicas. El mensaje incluía un QR que, al escanearse, dirigía a la víctima a una página fraudulenta para robar credenciales.

Próximos pasos y recomendaciones

ESET aconseja a usuarios y organizaciones reforzar la seguridad de los dispositivos móviles, revisar cuidadosamente cualquier código QR antes de escanearlo y emplear soluciones de filtrado de correo que detecten este tipo de amenazas.