Los expertos de Kaspersky, identificaron un aumento de correos electrónicos de phishing que incorporan códigos QR maliciosos. Las detecciones pasaron de 46.969 en agosto a 249.723 en noviembre de 2025, lo que representa un alza superior a cinco veces.
La empresa advirtió que los atacantes utilizan estos códigos para ocultar enlaces maliciosos y evadir los filtros de seguridad tradicionales. Esta práctica incrementa el riesgo de accesos no autorizados y filtraciones de datos en entornos corporativos.
TE PUEDE INTERESAR: Apple lanza nuevo AirTag con mayor alcance y precisión
Según el análisis, los atacantes insertan los códigos QR en el cuerpo del mensaje o o dentro de archivos PDF adjuntos. Esta modalidad dificulta la detección de enlaces maliciosos y lleva a los usuarios a escanearlos desde teléfonos móviles, que suelen contar con menos controles de seguridad que los computadores de trabajo.
La compañía detectó esta técnica tanto en campañas masivas de phishing como en ataques dirigidos. En varios casos, los códigos QR redirigen a formularios que imitan páginas de inicio de sesión de servicios como cuentas de Microsoft o portales corporativos internos. El objetivo es obtener nombres de usuario, contraseñas y otras credenciales.
Robo de credenciales y filtración de datos: algunos de los riesgos que enfrentan las empresas
Otra práctica detectada corresponde a correos que simulan comunicaciones de recursos humanos. Estos mensajes invitan a revisar o firmar documentos, como calendarios de vacaciones o avisos internos, y luego dirigen a sitios diseñados para capturar credenciales. También se identificaron envíos con supuestas facturas o confirmaciones de compra adjuntas en archivos PDF.
En algunos de estos casos, los atacantes combinan el phishing con llamadas telefónicas. Los correos incluyen números para “cancelar” o consultar una transacción, lo que permite nuevos intentos de engaño mediante ingeniería social.
Estas campañas se apoyan en correos que imitan comunicaciones habituales dentro de las empresas y pueden derivar en robo de credenciales, toma de control de cuentas, filtraciones de datos y fraude financiero.
“Los códigos QR maliciosos se han convertido en una de las herramientas de phishing más eficaces durante 2025, y así se espera que continúen en 2026, especialmente cuando se ocultan en archivos PDF adjuntos o se presentan como comunicaciones empresariales legítimas", señaló Leandro Cuozzo, analista de seguridad para América Latina en Kaspersky.
"Los atacantes están explotando esta técnica de evasión de bajo coste para engañar a los empleados. Sin capacidades avanzadas de análisis de imágenes en el correo electrónico y sin prácticas seguras de escaneo por parte de los usuarios, las organizaciones se exponen a ataques con consecuencias posteriores que pueden traducirse en pérdidas financieras y daños reputacionales significativos”, añadió.
Recomendaciones de los expertos
Para reducir este tipo de riesgos, desde la empresa recomendaron capacitar de forma continua a los empleados en la identificación de correos sospechosos y en los riesgos asociados al escaneo de códigos QR recibidos por email.
La compañía también llamó a reforzar la protección de credenciales corporativas mediante autenticación multifactor y controles de acceso, con el objetivo de limitar el impacto de un eventual robo de credenciales.
Además, sugirió proteger el correo electrónico corporativo con soluciones especializadas, orientadas a bloquear spam, phishing, ataques BEC y amenazas que utilicen códigos QR.
Debe estar conectado para enviar un comentario.