Quishing en México: el código QR que ya no lleva al menú

Un análisis de la telemetría de ESET difundido por IDC el 26 de octubre de 2026 ubica a México como el punto donde se concentró cerca del 70% de la actividad regional de QRishing durante el primer semestre de 2026. No es un dato que sorprenda a quien recorre oficinas. El cartel con el código cuadrado dejó de ser una rareza en recepciones y pasillos.

Lo que cambió no es el truco. Es el aparato al que llega.

El ataque se mudó al bolsillo

Durante años el correo corporativo fue el campo de juego: filtros, enlaces reescritos, dominios recién registrados bloqueados, un equipo de seguridad mirando el flujo. El código QR rompe esa cadena en un punto simple. Se escanea con la cámara del celular y se abre en el celular.

En ese teléfono no hay proxy de la empresa, ni lista de dominios bloqueados, ni extensión del navegador que avise antes de cargar. Escudo Digital lo describió el 1 de octubre de 2026 con una cifra concreta: el 11% de los correos de phishing ya usa códigos QR, justamente para mover el ataque del computador de la compañía al teléfono del empleado. La misma nota advierte algo que conviene subrayar: la protección tecnológica también tiene que cubrir el dispositivo móvil. Si la política de seguridad termina donde termina el escritorio, el código QR es una puerta lateral.

Y hay un detalle que empeora la cosa. La página maliciosa no se abre en un equipo corporativo que podemos revisar y limpiar. Se abre en el mismo teléfono donde está la app del banco, la billetera y el correo personal. Pedir la contraseña ahí tiene otro costo.

Una calcomanía encima de otra

La técnica más usada no requiere nada sofisticado. Alguien imprime un sticker con su propio código, entra al restaurante a la hora de la comida y lo pega sobre el código impreso en el individual de cartón. Tres segundos. Nadie lo mira.

El original sigue debajo. Eso es lo que conviene recordar: el código legítimo no desapareció, quedó tapado. Las esquinas no coinciden con el diseño, el borde del vinilo se levanta, el sticker está torcido. En los escenarios de CiberPulso tenemos un caso armado exactamente así, porque es lo que aparece en los reportes.

La variante por correo usa el mismo principio con otro soporte. Llega un mensaje que parece interno —una factura, un cambio de contraseña, un comprobante de pago— y en lugar de un enlace trae un código. Escanearlo parece más seguro que hacer clic. No lo es: es el mismo salto, con un paso más de por medio.

Cinco segundos antes de escanear

No hace falta una app de análisis ni conocimientos técnicos. Alcanza con mirar tres cosas, en este orden.

El soporte. ¿El código está impreso con el cartel o pegado encima? Un QR que forma parte de la carta plastificada, atornillado al mueble o incluido en el diseño original resiste el examen. Una calcomanía con bordes levantados, no. Si puedes despegarla con la uña, no la escanees.

El dominio. El navegador del celular muestra la dirección antes de cargar el contenido. La página de un hotel debería estar en el dominio del hotel, no en almenara-promo.example, ni en un acortador ni en una dirección llena de guiones y números. Cuando dudes, cierra la pestaña y llega al sitio escribiéndolo.

Lo que pide. Un QR de menú muestra la carta. Un QR de turno en una clínica muestra el turno. Ninguno de los dos necesita tu contraseña del portal, el número completo de tu tarjeta ni el código de seis dígitos que acaba de llegar por mensaje. Si el destino pide credenciales para "continuar", ahí termina el escaneo.

El caso del Hotel Almenara

Marcela llegó al hotel a las once de la noche, con el celular al dos por ciento de batería. En la mesa de noche había una tarjeta con un QR para pedir servicio a la habitación. Encima, alguien había pegado otro más pequeño, con el logo del hotel impreso en el borde.

Lo escaneó sin pensarlo. La página pedía los datos de la tarjeta para "reservar la cocina de madrugada". Esa frase es todo el ataque: un hotel no necesita tu tarjeta para llevarte un sándwich, porque ya tiene la garantía de la reserva. Marcela cerró la pestaña y llamó a recepción. El número estaba bien. El código, no tanto.

Lo que importa es lo que casi pasa. La página quedó abierta en un teléfono donde también vive la app bancaria.

Lo que cambia en la operación

Para la empresa, el QR obliga a mover la conversación. Un programa de concientización que solo habla de correo dejó un hueco: la gente escanea en el mundo físico, con prisa, y no hay banner de advertencia en la mesa del restaurante.

Tres ajustes concretos, sin grandilocuencia:

• Incluye el escaneo en los ejercicios de simulación, además del clic.
• Recorre recepción, sala de espera y comedor una vez al mes para revisar los QR que la propia empresa imprime y coloca.
• Define a dónde se reporta un código sospechoso, y que reportarlo no exija explicaciones.

Ninguna de las tres elimina el riesgo. Lo baja, que es lo único honesto que se puede prometer.

Treinta segundos

La próxima vez que veas un código en una mesa, antes de apuntar con la cámara, pásale la uña por el borde. Si se despega y no es parte del cartel, ya tienes la respuesta.

Y si quieres practicarlo antes de que te toque en un pasillo, en CiberPulso hay escenarios de quishing en restaurante, en hotel y en clínica: https://ciberpulso.com/demo