Por qué los estafadores comenzaron a enviarte imágenes de enlaces

Un escáner de enlaces es algo simple e implacable. Lee las direcciones URL de texto en un correo electrónico, las comprueba contra listas de dominios conocidos como maliciosos, sigue redirecciones y marca las que conducen a algo desagradable. Es bueno en su trabajo. Así que los estafadores hicieron lo obvio: dejaron de enviar enlaces.

Comenzaron a enviar imágenes de enlaces.

Ese es el truco detrás del "quishing" —suplantación de identidad mediante códigos QR. Un código QR es una dirección URL codificada como una imagen en blanco y negro, por lo que un destino como login-verify.example deja de ser texto en el cuerpo del mensaje y se convierte en píxeles. El punto no es que la dirección esté cifrada; cualquier cámara la decodifica instantáneamente. El punto es que ya no está escrita en ningún lugar donde tú, o un analizador de texto, puedas leerla antes de comprometerte.

Si un filtro aún puede leerla depende completamente del producto. El Centro Nacional de Seguridad Cibernética del Reino Unido expresa el límite con palabras cuidadosas en su nota de febrero de 2024 sobre códigos QR: "No todas las herramientas de seguridad diseñadas para detectar correos electrónicos de suplantación de identidad escanean imágenes." Observa lo que eso no dice. No dice que ninguna lo haga. Microsoft publicó el otro lado en noviembre de 2024: Defender for Office 365, escribió, "ha mejorado sus capacidades para extraer direcciones URL de códigos QR", utilizando procesamiento de imágenes al principio del flujo de correo para "extraer y registrar direcciones URL ocultas dentro de códigos QR", y ahora también extrae metadatos de QR y busca el patrón circundante —cuerpo de texto mínimo, un anzuelo de marca, una cadena de redirección. Así que "el filtro no puede leerlo" fue cierto para muchos productos durante un tiempo, sigue siendo cierto para algunos, y no es una ley de la naturaleza. Si quieres saber si es cierto para tu propio correo, esa es una pregunta sobre el producto y la configuración de tu proveedor, no sobre códigos QR.

Las cifras que se pueden verificar provienen del mismo proveedor, y merece la pena leerlas con el alcance indicado. El artículo de Microsoft de noviembre de 2024 describe un aumento con "algunos ataques aumentando a una tasa de crecimiento del 270% mensual", dice que "en su apogeo, Defender for Office 365 estaba bloqueando 3 millones de intentos diarios", y que después del envío del trabajo de detección "hemos visto que este número se reduce a 200,000 intentos de suplantación de identidad por código QR cada día." El Informe de Defensa Digital de Microsoft 2026 pone un total en la escala actual: 145+ millones de ataques de suplantación de identidad por código QR detectados entre julio de 2025 y junio de 2026 por Defender for Office 365. Todas esas cifras son telemetría de un proveedor para su propio producto, autoinformada. No son una parte de toda la suplantación de identidad, y no son un total de la industria —una versión anterior de este artículo citaba una cuota del 25% que ninguna publicación de Microsoft parece apoyar, y esa cifra ha sido eliminada en lugar de reemplazada.

Lo que hace que la técnica sea duradera es el traspaso, no la codificación. El correo electrónico llega a una computadora portátil, donde viven el filtro corporativo, el navegador administrado y el gestor de contraseñas. El código se escanea en un teléfono, que generalmente es un dispositivo personal. El NCSC lo enumera entre las razones por las que los delincuentes favorecen el método: "Los dispositivos personales pueden no tener las mismas protecciones de seguridad que una computadora proporcionada por tu empleador." En un teléfono, la barra de direcciones se trunca, la dirección URL completa es difícil de inspeccionar, y un gestor de contraseñas que habría rechazado llenar automáticamente en el dominio incorrecto no está involucrado en absoluto.

Los temas son aburridamente predecibles, lo que es una señal en sí mismo, y aparecen en las advertencias al consumidor casi palabra por palabra. La alerta de diciembre de 2023 de la FTC describe a estafadores cubriendo el código QR real en un parquímetro con su propio adhesivo, e advierte claramente: "No escanees un código QR en un correo electrónico o mensaje de texto que no esperabas", especialmente uno que te presiona para actuar inmediatamente. El anuncio de servicio público del IC3 del FBI de enero de 2022 dice lo mismo sobre la manipulación —"Los ciberdelincuentes manipulan tanto códigos QR digitales como físicos para reemplazar códigos legítimos con códigos maliciosos"— e informa a las personas que verifiquen códigos físicos en busca de "un adhesivo colocado encima del código original." Un código para reactivar la autenticación multifactor que expira, una solicitud de firma que no esperabas, un aviso de envío pidiéndote que confirmes la entrega: el objetivo de diseño es siempre una pequeña razón plausible para levantar el teléfono antes de que se verifique nada.

Así que los movimientos defensivos son los aburridos, y son los que las agencias realmente publican. El consejo de IC3, para un mensaje que quiere un pago o un inicio de sesión después de un escaneo: "llama a la empresa para verificar", usando "el número de teléfono de la empresa a través de un sitio de confianza en lugar de un número proporcionado en el correo electrónico", y "evita hacer pagos a través de un sitio al que navegaste desde un código QR. En su lugar, ingresa manualmente una dirección URL conocida y de confianza." Nada de eso requiere que juzgues si un cuadrado particular es malicioso —que es la parte en la que ningún humano es bueno.

Una cosa que un código QR en un correo electrónico nunca te dice es si el mensaje fue falsificado. La autenticación de dominio responde una pregunta completamente diferente, y la especificación DMARC actual explícitamente pone el "análisis de contenido" fuera de su alcance —que es por qué un mensaje completamente autenticado puede llevar una imagen maliciosa. Ese mecanismo merece su propia lectura, y es el tema de un artículo complementario en esta serie.

Corrección, 20 de octubre de 2026. Una versión anterior de este artículo decía que un filtro de spam no puede leer un código QR y que los escáneres no pueden ver la dirección codificada. Eso es cierto para algunos productos de seguridad de correo electrónico y no para otros: Microsoft documentó la extracción de direcciones URL de códigos QR en Defender for Office 365 en noviembre de 2024, y la redacción del NCSC es que no todas las herramientas escanean imágenes. El artículo también citaba una cifra de aproximadamente el 25% de suplantación de identidad por correo electrónico usando códigos QR, atribuida a Microsoft; no se encontró ninguna publicación de Microsoft que apoyara esa cuota, por lo que la cifra ha sido eliminada y reemplazada con cifras que Microsoft publica directamente, con su producto y período indicados. Un dominio de suplantación de identidad de demostración que había sido renderizado como un enlace en vivo ha sido reemplazado con un ejemplo que no se puede hacer clic en el espacio de nombres reservado .example, y una cita a la página de inicio de CISA ha sido reemplazada con los avisos específicos del IC3 del FBI y la FTC.