Un código QR no puede fallar una verificación DMARC, y es exactamente por eso que a los estafadores les encanta

La defensa del correo no es una sola máquina. Son al menos dos, y responden preguntas diferentes. La primera pregunta quién estaba autorizado a enviar correo usando este nombre de dominio. La segunda pregunta si lo que contiene el mensaje es peligroso. Un código QR pasa la primera por diseño, y si supera la segunda depende de qué producto esté leyendo tu correo.

Comienza con la primera máquina, porque es la que la gente nombra mal. SPF verifica si el servidor de envío está autorizado a enviar para un dominio. DKIM verifica una firma criptográfica sobre el mensaje. DMARC requiere que uno de esos identificadores autenticados se alinee con el dominio en el encabezado From: visible, y permite que el propietario del dominio publique una preferencia sobre qué debe suceder cuando esa alineación falla. La especificación actual, RFC 9989, es explícita en que es una preferencia y no una orden: "El manejo final de cualquier mensaje es siempre una cuestión de política local y se deja a discreción del Receptor de Correo".

Ahora la parte que importa para los códigos QR. La misma especificación lista qué está deliberadamente fuera de su alcance, y en esa lista, en esas dos palabras, está "content analysis" (análisis de contenido). DMARC nunca fue construido para leer enlaces, y no ha sido degradado por imágenes. No tiene opinión sobre el cuerpo de un mensaje en absoluto. También dice claramente lo que vale un pase: "un pase DMARC por sí solo no garantiza que la entrega a la bandeja de entrada del destinatario sería segura o deseable". Así que un delincuente que registra un dominio desechable, configura SPF y DKIM correctamente en él y publica un registro DMARC puede enviarte un mensaje que pase cada verificación de autenticación limpiamente. Nada fue eludido. El sobre realmente fue firmado por la parte que lo firmó. La pregunta de si el cuadrado adjunto lleva a algún lugar que roba tu contraseña nunca estuvo en el formulario de la capa de autenticación.

Esa pregunta pertenece a la segunda máquina, y aquí es donde los absolutos se desmoronan. Un enlace de texto en el cuerpo de un mensaje es algo que un filtro de contenido puede extraer, expandir y comparar contra datos de reputación. Una URL dentro de una imagen QR tiene que ser recuperada primero de los píxeles, y esa capacidad no es universal. El National Cyber Security Centre del Reino Unido, en un post de febrero de 2024 de Dave Chismon, da el límite exactamente: "No todas las herramientas de seguridad diseñadas para detectar correos de phishing escanean imágenes". Microsoft, en noviembre de 2024, documentó el otro lado — Defender for Office 365 "ha mejorado sus capacidades para extraer URLs de códigos QR", sacándolas con procesamiento de imágenes al principio del flujo de correo y ahora también extrayendo metadatos QR y puntuando el patrón circundante. Microsoft también publicó qué cambió en su propia telemetría: en el pico estaba "bloqueando 3 millones de intentos diarios", y después de que el trabajo de detección se implementó, "hemos visto que este número se reduce a 200,000 intentos de phishing con código QR cada día". Un proveedor, un producto, auto-reportado — pero verificable, que es más de lo que se puede decir de los porcentajes de toda la industria que circulan sobre este tema. Una versión anterior de este artículo llevaba uno de esos porcentajes; ha sido removido porque su origen no pudo ser establecido.

La alerta de consumidor de la FTC del 6 de diciembre de 2023, de Alvaro Puig, especialista en educación del consumidor, es donde se expone la versión cotidiana del problema: estafadores cubriendo un código real de parquímetro con su propia pegatina, un mensaje afirmando que un paquete no pudo ser entregado, una cuenta que supuestamente necesita reactivación. Su consejo es una sola oración y no requiere que evalúes ningún código en particular: "No escanees un código QR en un correo o mensaje de texto que no esperabas". El comunicado del IC3 del FBI de enero de 2022 agrega la señal física — verifica si hay "una pegatina colocada encima del código original" — y la procesal: para un mensaje que quiere un pago, "llama a la compañía para verificar", usando un número encontrado "a través de un sitio confiable en lugar de un número proporcionado en el correo", y "evita hacer pagos a través de un sitio al que navegues desde un código QR. En lugar de eso, ingresa manualmente una URL conocida y confiable".

Y luego está el dispositivo, que es la verdadera razón por la que esto sigue funcionando. Un código QR no se escanea en la laptop donde el navegador gestionado, el filtro corporativo y el gestor de contraseñas que se rehúsa a autocompletar en el dominio incorrecto todos viven. Se escanea en un teléfono, que el NCSC lista entre las razones por las que los delincuentes favorecen el método: "Los dispositivos personales pueden no tener las mismas protecciones de seguridad que una computadora proporcionada por tu empleador". En un teléfono la barra de direcciones se trunca, la URL completa es incómoda de inspeccionar, y la persona que está escaneando generalmente está parada en algún lugar, ligeramente molesta, sin leer cuidadosamente.

Así que el resumen honesto es más estrecho que "los filtros son ciegos". La autenticación de dominio está funcionando y está respondiendo su propia pregunta correctamente. El análisis de contenido de imágenes QR existe, está implementado en algunos productos y no en otros, y mejoró mediblemente en al menos uno de ellos en 2024. El ataque sobrevive porque traslada el momento decisivo a un dispositivo que se encuentra fuera de la mayoría de esa maquinaria, y frente a una persona que ha sido entrenada durante años para tratar un cuadradito como una conveniencia. El cuadrado no engaña al filtro. Mueve la conversación hacia ti.

Corrección, 20 de octubre de 2026. Una versión anterior de este artículo decía que cada filtro de spam y cada verificación de encabezado fue construido para leer texto y que un código QR es invisible para todos ellos. La autenticación de dominio no examina contenido por diseño — la especificación DMARC lista "content analysis" como fuera del alcance — pero el filtrado de contenido es una capa separada, y Microsoft documentó la extracción de URL QR en Defender for Office 365 en noviembre de 2024, mientras que la redacción del NCSC es que no todas las herramientas escanean imágenes. Una estadística que atribuía el 22% del phishing en línea de finales de 2023 a códigos QR ha sido removida porque no se pudo identificar ninguna fuente primaria para ella; no ha sido reemplazada con una cifra aproximada. Una cita a una página del NCSC que en realidad no discute códigos QR ha sido reemplazada con el post del blog del NCSC que sí lo hace, la alerta de la FTC ahora tiene fecha precisa, y un dominio de phishing de demostración ha sido reemplazado con un ejemplo no clickeable en el espacio de nombres reservado .example.

@@END@@