El señuelo ya no llega como un enlace azul subrayado. Llega como un cuadrito pegado encima del parquímetro, o como una imagen dentro de un correo de dos líneas que asegura que la empresa está renovando la verificación en dos pasos. Se llama quishing, phishing con códigos QR, y funciona por una razón concreta: el destino no es texto, son píxeles.
Por qué un cuadrado de píxeles pasa por delante del filtro
Los sistemas antiphishing leen texto. Analizan cabeceras, comparan el dominio del remitente con el de los enlaces y contrastan cada URL con listas de reputación. Un código QR no les entrega nada de eso: es una imagen, y la dirección está codificada en el patrón de módulos blancos y negros. Cada vez más pasarelas decodifican las imágenes, pero no todas, y basta con meter el código dentro de un PDF adjunto para complicarles el trabajo.
Hay un segundo motivo, más sutil. El correo que lleva un QR suele ser cortísimo y educado: dos frases, ningún enlace, ningún adjunto ejecutable, ninguna de las palabras que disparan las reglas. Estadísticamente parece limpio. Y luego está el salto de dispositivo, que remata la jugada: el filtro protege el buzón del ordenador de la empresa, pero quien abre la dirección es la cámara de un teléfono, ya fuera de ese perímetro.
Dónde aparecen: parquímetros, paquetes y el correo de la "reinscripción MFA"
La versión física es la más descarada. Una pegatina con un QR colocada encima del código legítimo de un parquímetro o de un cargador de coche eléctrico lleva a una pasarela de pago falsa que copia los colores del operador y pide la tarjeta. El detalle que la delata es sencillo: un código de pago auténtico casi siempre viene impreso dentro del propio cartel, con la misma tinta y bajo el mismo laminado. Si es una pegatina superpuesta, con burbujas o esquinas levantadas, no la escanees; y si al levantarla aparece otro código debajo, avisa al operador.
En el correo se repiten tres formatos. El aviso de reentrega de un paquete que pide una tasa pequeña, casi siempre por debajo de tres euros, porque una cifra baja invita a resolverlo rápido. La supuesta factura adjunta en PDF, donde el importe solo se ve "escaneando el código". Y el que más gente atrapa en oficinas: un mensaje que anuncia que hay que volver a inscribir la autenticación multifactor desde el teléfono, escaneando el código. Suena plausible porque las migraciones reales de MFA existen y son igual de molestas.
Ante un aviso así, lo más rápido es mirar la dirección real del remitente en lugar del nombre que muestra el cliente de correo y verificar si ese buzón existe siquiera: un verificador de direcciones de correo responde en segundos, y muchos señuelos salen de dominios recién registrados que ni aceptan correo entrante.
Parte del problema es aritmético: cuanto más circula tu dirección real, más señuelos aterrizan en ella. Para registros de un solo uso, como descargar un PDF o probar una aplicación, una bandeja de correo temporal mantiene ese ruido lejos del buzón donde esperas cosas importantes.
Cómo leer la dirección en el móvil antes de tocar nada
El teléfono es el eslabón débil por diseño: la barra de direcciones es diminuta y recorta el dominio justo por donde no debe, muchas veces se lee el correo del trabajo en un aparato personal sin filtrado corporativo, y la escena típica es alguien de pie en la calle, con prisa.
Casi todas las cámaras muestran una vista previa de la dirección antes de abrirla. Léela siempre, y de una forma concreta: localiza la primera barra que aparece sola y mira las dos palabras inmediatamente a su izquierda. Ese es el dominio de verdad, y es lo único que importa. Lo que va después de la barra lo escribe quien monta la página, así que ver "banco" o "verificacion" ahí no significa nada. En pagos-seguros.tuayuntamiento.ejemplo-cobros.net, el dominio real es ejemplo-cobros.net y el resto es decorado.
Dos trampas más. Las letras que se parecen: una ele minúscula y una i mayúscula son casi idénticas en muchas tipografías, y "rn" pegadas imitan una "m". Y los prefijos largos de subdominio, pensados para que el nombre auténtico quede visible en la pantalla estrecha y el dominio real se corte por la derecha. Si además hay un acortador de por medio, no puedes juzgar nada, y esa incertidumbre ya basta para no continuar. El resto de señales están reunidas en la guía sobre cómo detectar un correo de phishing.
La señal que no falla: te piden la contraseña y el código en vivo
Si después de escanear aparece una página que pide la contraseña y, acto seguido, el código de seis dígitos, estás casi seguro ante un relé en tiempo real. La página falsa reenvía tus datos al servicio auténtico en el mismo instante en que los escribes, recibe la sesión iniciada y se queda con la cookie. De ahí el detalle más peligroso: que el código sea aceptado no demuestra nada. Lo validó el sitio legítimo, no el falso, y tú acabas de entregar una sesión abierta.
Lo único que resiste bien esta técnica son las passkeys y las llaves de hardware, porque la credencial está ligada criptográficamente al dominio auténtico. El navegador no ofrece la clave en un dominio distinto, aunque la copia sea perfecta a la vista, así que no hay nada que teclear ni que reenviar.
Mientras tanto, los códigos temporales siguen siendo bastante mejores que los SMS, aunque ninguno detenga un relé; la comparación está en el artículo sobre app de autenticación frente a 2FA por SMS.
Y si estás migrando de los SMS a códigos temporales, puedes ver cómo se comportan con un generador de códigos TOTP en el navegador antes de tocar la configuración de una cuenta importante.
Si ya escaneaste y escribiste tus datos
Actúa desde otro dispositivo, porque el teléfono que escaneó puede haber recibido algo más. Cambia la contraseña de la cuenta afectada y de cualquier otra donde repitieras esa contraseña. Después cierra todas las sesiones activas desde los ajustes de seguridad: ese paso es el que invalida la cookie robada, y sin él el cambio de contraseña puede no expulsar a nadie.
Luego revisa lo que se suele pasar por alto, que es donde el atacante deja la puerta abierta: direcciones de recuperación añadidas, teléfonos nuevos, reglas de reenvío que copian tu correo a otro buzón, contraseñas de aplicación y dispositivos registrados como segundo factor. Si aparece una dirección de recuperación que no reconoces, anótala antes de borrarla y compruébala con el verificador de direcciones de correo, porque saber si es un buzón activo ayuda a explicar lo ocurrido.
Por último, avisa. Si es una cuenta de trabajo, escribe a quien lleva la seguridad informática aunque te dé apuro: el mismo mensaje habrá llegado a más gente y las primeras horas cuentan. Si hubo datos de tarjeta, llama al banco. Y no borres el correo ni la foto del código: son la prueba.
Preguntas frecuentes
¿Escanear un código QR puede infectar el teléfono?
Escanear en sí no instala nada: el código solo contiene texto, casi siempre una dirección web. El riesgo empieza después, cuando abres esa dirección y escribes credenciales o instalas una aplicación desde fuera de la tienda oficial. La regla práctica es leer siempre la vista previa de la cámara y decidir con el dominio delante.
¿Cómo sé si el QR de un parquímetro es falso?
Fíjate en el soporte antes que en el código. Los auténticos suelen estar impresos en el propio cartel, con la misma tinta y bajo el mismo plástico protector, mientras que los fraudulentos son pegatinas superpuestas que se notan al tacto o al mirarlas de lado. Si dudas, paga en la máquina o con la aplicación oficial del operador.
¿La verificación en dos pasos me protege del quishing?
Ayuda, pero no basta contra las páginas que reenvían tus datos en tiempo real, porque también te pedirán el código y lo usarán en ese mismo momento. Lo que sí corta el ataque son las passkeys y las llaves de seguridad físicas, ligadas al dominio auténtico. Si aún dependes de códigos, usa al menos una aplicación de autenticación en lugar de SMS.
