Seguridad QR: quishing, QRLJacking y cómo defenderte

Escaneamos un QR para pagar el parquímetro, abrir el menú de un restaurante, conectarnos al Wi-Fi de un hotel o acceder a un servicio online. Nos parece un gesto trivial. Pero un código QR puede dirigirnos a una página fraudulenta, iniciar una descarga o participar en un flujo de autenticación que no esperábamos. Esta guía explica cómo funciona la tecnología —ISO/IEC 18004, Reed-Solomon, máscaras y ECI—, qué amenazas existen y cómo reducir el riesgo antes, durante y después de escanear.

Qué es un código QR y por qué no es magia

Un código QR (Quick Response Code) es un símbolo bidimensional estandarizado en la familia ISO/IEC 18004. Fue desarrollado por DENSO WAVE en Japón en 1994 para facilitar la identificación de piezas en procesos industriales. Su diseño permite localizar, orientar y leer el símbolo rápidamente, además de recuperar parte de los datos cuando hay daños.

Un QR no tiene por qué contener una URL. Codifica datos que pueden representar texto, información binaria, una dirección web, una configuración Wi-Fi o un contacto, entre otros formatos. Es el lector o la aplicación que lo procesa quien determina qué hacer con el contenido.

En la versión 40, el QR estándar puede almacenar hasta 2.953 bytes en modo Byte con corrección de errores de nivel L. Esa cifra es una capacidad máxima bajo unas condiciones concretas, no una capacidad universal para todos los códigos: depende de la versión, el nivel de corrección y el modo de codificación.

Cómo funciona por dentro: matriz, ECC y máscaras

Conocer la estructura del QR ayuda a entender sus límites y a evitar explicaciones engañosas sobre su seguridad. Estas son sus principales piezas.

Anatomía de un símbolo QR

• Finder patterns: los tres patrones cuadrados grandes situados en las esquinas superior izquierda, superior derecha e inferior izquierda permiten localizar y orientar el símbolo.
• Separadores y quiet zone: el margen claro alrededor del símbolo ayuda a distinguirlo del fondo. La quiet zone estándar tiene una anchura mínima de cuatro módulos.
• Timing patterns: líneas alternas de módulos claros y oscuros que ayudan al lector a determinar la cuadrícula.
• Alignment patterns: patrones de alineación que aparecen en las versiones que los requieren y ayudan a compensar la distorsión geométrica.
• Format information: contiene el nivel de corrección de errores y la máscara utilizada, con protección mediante un código BCH.
• Version information: aparece desde la versión 7 e identifica la versión del símbolo, también con protección BCH.
• Zona de datos: contiene los bits de los datos y la información de corrección de errores.

Corrección de errores: Reed-Solomon sobre GF(2⁸)

Los códigos QR utilizan Reed-Solomon para recuperar datos cuando el símbolo está dañado o parcialmente ilegible. En la codificación habitual del QR, los bloques de corrección se construyen sobre el cuerpo finito GF(256), también escrito GF(2⁸).

El estándar define cuatro niveles de corrección. Los porcentajes que suelen acompañar a estos niveles son aproximaciones de la capacidad de recuperación de codewords —unidades de ocho bits de la zona de datos—, no porcentajes garantizados de módulos, superficie o imagen que puedan cubrirse.

En lugares públicos, comprueba que el código no esté cubierto por una pegatina, que no existan bordes sospechosos y que el destino mostrado por el lector corresponda al servicio esperado. Una apariencia impecable tampoco garantiza que el código sea seguro.

Máscaras: ocho patrones y cuatro reglas de penalización

Durante la generación del símbolo se aplica una de las ocho máscaras definidas por el estándar. La máscara modifica los módulos de la zona de datos según un patrón determinado para mejorar las propiedades visuales del símbolo y facilitar su lectura. El codificador evalúa cuatro criterios de penalización y selecciona la máscara con la puntuación más favorable.

• N1: penaliza secuencias largas de módulos del mismo color en filas o columnas.
• N2: penaliza bloques homogéneos de 2×2 módulos.
• N3: penaliza determinados patrones que se parecen a un patrón de localización.
• N4: penaliza desequilibrios en la proporción de módulos claros y oscuros.

La información de formato indica al lector qué máscara debe revertir. La máscara no cifra ni oculta la URL y tampoco constituye una medida de seguridad. Un QR visualmente correcto puede dirigir a un destino fraudulento, porque la legitimidad del contenido es independiente de la máscara utilizada.

Modos de codificación: Numeric, Alphanumeric, Byte, Kanji y ECI

Los QR admiten varios modos de codificación. Cada segmento identifica el modo utilizado y emplea una representación adecuada al tipo de contenido.

ECI (Extended Channel Interpretation) permite indicar la interpretación de los datos, incluida la codificación de caracteres. No es un mecanismo de cifrado ni una protección contra el phishing. Los caracteres de distintos alfabetos pueden utilizarse para construir dominios visualmente parecidos a los legítimos, pero ese riesgo procede de los nombres de dominio internacionalizados y de la forma en que se muestran, no de ECI por sí mismo.

Format information y version information

La información de formato utiliza 15 bits para codificar el nivel de corrección de errores y la máscara. Está protegida mediante un código BCH y una operación XOR con una constante definida por el estándar. Desde la versión 7, la información de versión utiliza 18 bits protegidos mediante BCH.

Estos campos permiten al lector interpretar la estructura del símbolo. No autentican al emisor ni garantizan que la información codificada sea fiable.

Versiones y capacidad

El QR estándar contempla 40 versiones. La versión 1 tiene 21 × 21 módulos y cada versión posterior añade cuatro módulos por lado, hasta los 177 × 177 de la versión 40. La capacidad máxima depende también del nivel de corrección y del modo de codificación.

La siguiente tabla muestra las capacidades máximas de las versiones indicadas con corrección de errores L. Son cifras de referencia para cada modo por separado; la capacidad de un contenido mixto puede variar.

Estas capacidades permiten almacenar direcciones web, información de contacto, configuraciones y otros datos. Sin embargo, incluir una URL larga no significa necesariamente que el QR sea peligroso. Lo importante es comprobar el destino y evitar acciones inesperadas.

Mapa de amenazas 2025–2026

El riesgo principal no es la matriz gráfica en sí, sino el uso que se hace de ella. Un QR puede presentar un enlace de phishing, ocultar el destino detrás de un acortador o aparecer en un contexto que induce al usuario a actuar deprisa. En el correo electrónico, además, el enlace puede estar representado como una imagen y escapar a ciertos controles que inspeccionan únicamente texto y URL visibles.

Qué dicen los informes de 2026

Las cifras sobre quishing deben leerse junto a la fuente, el periodo y la métrica utilizada. No representan necesariamente el riesgo individual de cualquier persona ni la proporción de todos los correos electrónicos que recibe.

Una precisión sobre los ataques de inicio de sesión

QRLJacking no significa que cualquier QR de inicio de sesión sea peligroso. El ataque se produce cuando el atacante consigue que la víctima escanee y autorice un código asociado a una sesión que controla el propio atacante. El engaño puede presentarse como una invitación, una verificación o una supuesta necesidad de volver a iniciar sesión.

Antes de autorizar una sesión, comprueba qué servicio la solicita, desde dónde se ha iniciado y qué acción estás aprobando. Si no has iniciado tú el proceso o no entiendes la solicitud, cancélala. Las organizaciones que implementan autenticación mediante QR deberían incorporar confirmaciones de sesión y controles contra la autorización engañosa.

Protocolo de defensa: antes, durante y después

No necesitas dejar de utilizar los QR. Necesitas aplicar una verificación proporcional al riesgo. Un QR que abre el menú de un restaurante no plantea la misma situación que otro que solicita credenciales, autoriza una sesión o inicia un pago.

Antes de escanear: inspección física y contextual

• Comprueba si el QR parece una pegatina añadida, está desalineado o cubre otro código.
• Desconfía de los códigos colocados en lugares públicos sin un contexto claro o que solicitan un pago inesperado.
• Presta atención a los mensajes que generan urgencia, amenazan con bloquear una cuenta o prometen premios inesperados.
• En un parquímetro, una factura o un punto de pago, contrasta el procedimiento con la web o aplicación oficial.
• Si puedes, utiliza la dirección oficial escrita por ti o una aplicación oficial en lugar de seguir un QR sospechoso.

Al escanear: revisa el destino

• Utiliza un lector que permita ver el contenido antes de abrirlo. La vista previa ayuda a inspeccionar el destino, aunque no garantiza que sea seguro.
• Lee el dominio real. Busca errores tipográficos, subdominios engañosos y nombres visualmente similares a los de marcas conocidas.
• Si aparece un acortador, una redirección o una URL que no esperabas, no continúes hasta verificar el destino por otra vía.
• Comprueba que la página corresponde al servicio esperado antes de introducir datos personales o financieros.
• Recuerda que HTTPS cifra la conexión, pero no demuestra que el sitio pertenezca a una organización legítima. Los sitios fraudulentos también pueden utilizar HTTPS.
• No instales aplicaciones, perfiles de configuración ni certificados a raíz de un QR inesperado.
• Si aparece una petición de inicio de sesión o autorización que no has solicitado, cancélala.

Después: respuesta ante una posible exposición

• Solo has escaneado el QR: si no has abierto el destino ni autorizado ninguna acción, el riesgo suele ser menor. Cierra la vista previa y evita continuar si algo no encaja.
• Has abierto una página sospechosa: ciérrala y no descargues archivos ni introduzcas información. Mantén el sistema y el navegador actualizados.
• Has introducido una contraseña: cambia la contraseña desde la web o aplicación oficial, preferiblemente desde un dispositivo de confianza. Si la reutilizabas, cámbiala también en los otros servicios afectados.
• Has autorizado una sesión: consulta las sesiones activas del servicio, cierra las que no reconozcas y revoca los accesos sospechosos.
• Has instalado una aplicación o perfil: no des por hecho que basta con cerrar el navegador. Revisa las aplicaciones, los permisos y los perfiles instalados; utiliza las herramientas de seguridad adecuadas y solicita asistencia técnica si no puedes determinar el alcance.
• Has compartido datos bancarios o realizado un pago: contacta cuanto antes con tu banco a través de sus canales oficiales. Solicita el bloqueo o las medidas pertinentes según lo ocurrido.
• Es un dispositivo de trabajo: informa al equipo de seguridad o al servicio informático para que pueda evaluar el incidente.

La autenticación multifactor reduce ciertos riesgos, pero no elimina todos los ataques de phishing. Siempre que sea posible, las passkeys y los métodos basados en FIDO2/WebAuthn ofrecen resistencia al phishing al vincular la autenticación al sitio legítimo.

Controles para empresas y administradores

• Inspección de correo: utilizar soluciones que detecten y extraigan QR de imágenes y PDF, analicen las URL resultantes y comprueben los destinos. La ejecución aislada de páginas sospechosas puede complementar el análisis.
• SPF, DKIM y DMARC: ayudan a combatir determinadas formas de suplantación de correo. No detectan ni bloquean por sí solos todas las campañas de quishing.
• Filtrado DNS y web: bloquear dominios maliciosos conocidos y aplicar controles de navegación. Los servicios cifrados de DNS y los dispositivos externos pueden afectar a la visibilidad, por lo que las políticas deben diseñarse adecuadamente.
• Remote Browser Isolation (RBI): ejecutar la navegación en un entorno aislado puede reducir el impacto de contenido web peligroso.
• MDM y MAM: administrar dispositivos y aplicaciones, aplicar políticas de instalación y controlar los permisos de acuerdo con las necesidades de la organización.
• Acceso condicional y ZTNA: restringir el acceso según la identidad, el estado del dispositivo y las políticas de seguridad.
• Autenticación resistente al phishing: priorizar passkeys o FIDO2/WebAuthn cuando sea viable, y diseñar las autorizaciones mediante QR para que el usuario pueda comprobar claramente la sesión.
• Formación y respuesta: realizar simulaciones controladas, ofrecer un mecanismo sencillo para reportar correos sospechosos y establecer un procedimiento de respuesta a incidentes.

Glosario técnico

Fuentes y referencias

Las siguientes fuentes permiten contrastar la información técnica sobre QR, las cifras de actividad observada en 2026 y la descripción de QRLJacking. Las estadísticas deben interpretarse dentro del alcance y periodo de cada informe.

• DENSO WAVE — Error Correction Feature.
  Documentación oficial sobre Reed-Solomon, los niveles de corrección y la recuperación de codewords.
  
  Consultar la documentación técnica.
• DENSO WAVE — Information Capacity and Versions.
  Tabla oficial de capacidades por versión, nivel de corrección y modo de codificación.
  
  Consultar versiones y capacidades.
• Microsoft Security — Email threat landscape: Q1 2026 trends and insights.
  Informe sobre la evolución del phishing por QR durante el primer trimestre de 2026.
  
  Leer el informe.
• ESET — Threat Report, H1 2026.
  Informe de amenazas del primer semestre de 2026, que incluye estadísticas sobre quishing.
  
  Consultar el informe de ESET.
• OWASP — QRLJacking.
  Descripción del ataque de secuestro de sesión mediante códigos QR de autenticación.
  
  Consultar la documentación de OWASP.

Nota editorial: las cifras corresponden a los periodos indicados en sus respectivas fuentes. Conviene revisar los informes originales al actualizar esta guía.

Conclusión: la comodidad es el anzuelo

Los códigos QR se han vuelto invisibles por su utilidad. Los utilizamos para pagar, consultar información y acceder a servicios, a menudo sin detenernos a comprobar el destino. Esa confianza automática es precisamente lo que intentan explotar algunas campañas de phishing.

No hace falta dominar Reed-Solomon ni conocer la especificación ISO/IEC 18004 para protegerse. Basta con convertir tres hábitos en rutina:

1. Inspeccionar el contexto: comprobar dónde aparece el QR y si parece manipulado.
2. Verificar el destino: revisar la URL antes de abrirla y confirmar que pertenece al servicio esperado.
3. Detenerse ante acciones sensibles: no facilitar credenciales, realizar pagos, instalar aplicaciones ni autorizar sesiones inesperadas.

El QR no es el enemigo. El riesgo está en confiar sin verificar. La mejor defensa no es la paranoia, sino un procedimiento sencillo, proporcionado y repetible.

---

Preguntas frecuentes

¿Qué es exactamente el quishing?

El quishing es una modalidad de phishing que utiliza códigos QR para dirigir a la víctima a una página o acción engañosa. El código puede aparecer en un correo, un PDF, una pegatina o un cartel. El riesgo está en el destino y en lo que se pide hacer después de escanearlo.

¿Es seguro escanear cualquier QR?

No se puede garantizar la seguridad de un QR únicamente por su aspecto. Utiliza la vista previa del lector, revisa el destino y evita introducir credenciales o realizar pagos cuando no hayas podido verificar el servicio.

¿Qué nivel de corrección de errores debe tener un QR?

Depende del entorno y de la cantidad de datos que deba almacenar. Los niveles L, M, Q y H ofrecen distintos compromisos entre capacidad y recuperación de errores. El nivel H permite recuperar aproximadamente el 30 % de los codewords en las condiciones previstas por el mecanismo de corrección; no significa que pueda taparse el 30 % de la superficie del símbolo sin consecuencias.

¿Cómo puedo saber si un QR es malicioso?

No siempre es posible determinarlo mirando el código. Inspecciona si está manipulado, muestra la URL antes de abrirla y comprueba el dominio completo. Desconfía de redirecciones inesperadas, errores tipográficos y páginas que solicitan información que no corresponde al contexto. Si tienes dudas, utiliza la aplicación o la web oficial del servicio.

¿Puede un QR instalar malware con solo escanearlo?

Normalmente, escanear un QR solo decodifica su contenido o muestra una vista previa. La instalación de malware suele requerir pasos adicionales, como descargar y ejecutar un archivo, aceptar permisos o aprovechar una vulnerabilidad del dispositivo o de la aplicación. No obstante, conviene mantener el sistema actualizado y no abrir ni instalar contenido inesperado.

¿Qué hago si he escaneado un QR sospechoso?

Si solo lo has escaneado, cierra la vista previa y no continúes. Si has introducido credenciales, cámbialas desde el servicio oficial y revoca las sesiones que no reconozcas. Si has instalado algo, revisa el dispositivo y busca asistencia técnica cuando sea necesario. Si has compartido información bancaria o realizado un pago, contacta con tu banco por sus canales oficiales.

¿Los bancos pueden utilizar QR legítimos?

Sí. Algunas entidades y servicios de pago utilizan códigos QR dentro de flujos legítimos. Lo importante es comprobar que el procedimiento procede del canal oficial y que entiendes qué estás autorizando. No introduzcas credenciales ni autorices operaciones a través de páginas inesperadas a las que hayas llegado desde un QR.

¿Qué es el QRLJacking?

Es un ataque de ingeniería social contra determinados sistemas de inicio de sesión mediante QR. El atacante prepara una sesión y convence a la víctima para que escanee el código y la autorice. Si el sistema es vulnerable y la víctima aprueba la sesión equivocada, el atacante puede obtener acceso a la cuenta. No escanees códigos de autenticación que no hayas solicitado y comprueba qué sesión estás autorizando.

¿Una web con HTTPS es necesariamente segura?

No. HTTPS protege la conexión mediante TLS, pero no garantiza que el sitio sea legítimo. Los atacantes también pueden utilizar certificados válidos. Comprueba el dominio y el contexto, y accede a los servicios sensibles mediante sus canales oficiales.