El código QR que llega por mail puede vaciar tu cuenta: México y España, en el top 3 mundial
El 'quishing' ya representa el 11% del phishing global por email. México lidera en América Latina y España concentra el 17% de los casos mundiales, según ESET.
Por Ariel Serato · Cofundador y editor de IA y Tecnología4 min de lectura
Escaneás un código QR en un correo de DocuSign y en segundos tu celular queda expuesto. No hay enlace visible que cuestionar, no hay URL que inspeccionar: solo un patrón de cuadrados que oculta el destino hasta que ya es tarde.
Esa es la mecánica del quishing —la fusión de QR y phishing— y según el ESET Threat Report H1 2026, ya no es una amenaza emergente: es una industria del fraude con geografía propia.
El mapa del riesgo: México y España en el podio
Estados Unidos concentra el 19% de las detecciones mundiales de esta modalidad. España le sigue con el 17% y México aparece en tercer lugar con el 6%, según el informe de ESET Latinoamérica. Para la región, el dato es más directo: México lideró los registros latinoamericanos de quishing durante el primer semestre de 2026.
La amenaza denominada QRCode/Phishing representó alrededor del 11% de todos los correos de phishing analizados en el período y se ubicó séptima entre las principales campañas maliciosas distribuidas por email a nivel global.
El crecimiento no es casual. La masificación de los códigos QR en pagos, trámites y comunicaciones comerciales amplió la superficie de ataque. Cuanto más normal es escanear, menos se sospecha.
La trampa tiene nombre propio: DocuSign
Uno de los casos reales documentados en el informe reproduce con precisión la identidad visual de DocuSign, la plataforma de firma electrónica que usan miles de empresas. El correo informa que un documento está listo para revisión, incluye un botón amarillo y un código QR. No hay enlace clickeable: la única acción posible es apuntar la cámara.
DocuSign fue una de las marcas más explotadas en campañas de phishing observadas en América Latina durante el semestre, según los datos regionales de ESET.
La elección no es arbitraria: una notificación de firma electrónica genera urgencia, viene de una fuente conocida y requiere acción. El combo perfecto para bajar las defensas.
Por qué el celular es el blanco preferido
Jonathan Ramos, investigador de Seguridad Informática de ESET Latinoamérica, lo explica con precisión: "Al pedirle a la víctima que escanee un código, el ciberdelincuente traslada la interacción desde un entorno relativamente protegido, como la computadora del trabajo, hacia un teléfono móvil que muchas veces no cuenta con las mismas medidas de seguridad".
El traslado de dispositivo es el corazón de la estrategia. Las políticas de seguridad corporativas, los filtros de red y el software de protección empresarial quedan fuera del juego en el momento en que el empleado apunta su celular personal.
Una vez que el QR es escaneado, las vías de explotación son tres: robo de credenciales a través de páginas falsas de login, pagos fraudulentos con datos precargados que minimizan la fricción, e instalación de apps maliciosas fuera de las tiendas oficiales.
Señales de alerta que no hay que ignorar
ESET identifica patrones concretos que distinguen un QR malicioso. Los más críticos:
- El código está pegado encima de otro o muestra signos de manipulación física.
- Llega sin haber sido solicitado, por mail, mensaje o en un soporte inesperado.
- Va acompañado de urgencia, presión temporal o advertencias alarmistas.
- La URL que aparece al escanear no coincide con el servicio esperado.
- Solicita contraseñas, códigos de verificación o datos financieros para continuar.
La recomendación central de ESET es siempre revisar la URL antes de confirmar cualquier acción, ingresar manualmente a los sitios oficiales en lugar de seguir el código, y no instalar aplicaciones desde QR desconocidos.
El quishing ya tiene escala industrial en América Latina. La pregunta no es si llegará a tu bandeja de entrada, sino si reconocerás la amenaza antes de escanear.
