Quishing

¿Qué es el quishing?

El quishing (QR + phishing) es una técnica de ciberataque que utiliza códigos QR fraudulentos como vector para dirigir a las víctimas hacia sitios web maliciosos, robar credenciales, instalar malware o capturar datos bancarios. Se trata de una evolución del phishing tradicional que explota la confianza generalizada de los usuarios en los códigos QR y la dificultad de inspeccionar visualmente una URL antes de escanear el código.

A diferencia del phishing por email, donde los filtros de seguridad pueden analizar URLs y contenido textual, un código QR embebido en una imagen es esencialmente opaco para los sistemas de detección automática. El usuario ve un patrón de puntos blancos y negros sin poder determinar a simple vista si la URL oculta es legítima o maliciosa.

Cómo funciona técnicamente un código QR

Para entender el quishing, es útil comprender cómo funcionan los códigos QR:

Estructura interna de un código QR:

┌──────────────────────────────────┐
│ ██████  ░░░░██  ██████           │ ← Patrones de posición
│ ██  ██  ██░░██  ██  ██           │   (esquinas)
│ ██████  ░░░░██  ██████           │
│                                  │
│ ░░██░░██░░██░░██░░██░░           │ ← Patrón de alineación
│                                  │
│ ██░░██░░██ DATOS ░░██░░          │ ← Datos codificados
│ ░░██░░██░░██░░██░░██░░           │   (URL, texto, etc.)
│ ██░░██░░██░░██░░██░░██           │
│                                  │
│ Información de formato            │ ← Nivel de corrección
│ Información de versión            │   de errores
└──────────────────────────────────┘

Un código QR legítimo que apunte a https://restaurante.es/menu y un código QR malicioso que apunte a https://restaurante-es.phishing.invalid/menu son visualmente indistinguibles para el ojo humano.

Vectores de ataque: cómo se ejecuta el quishing

Los atacantes despliegan códigos QR maliciosos en múltiples contextos, aprovechando situaciones donde el usuario confía en el código o tiene prisa por escanearlo.

QR físicos superpuestos (sticker overlay)

La técnica más común consiste en pegar una pegatina con un QR fraudulento sobre un QR legítimo:

QR en comunicaciones digitales

QR en paquetería y logística

Técnicas avanzadas de quishing

Estadísticas y tendencias del quishing

Qué se puede afirmar con fuente, y qué no

No existe una serie pública que cuantifique los incidentes de quishing a escala global. Ni Europol ni el FBI publican un recuento anual de esta modalidad por separado, y el Balance de Ciberseguridad de INCIBE da el total de incidentes gestionados —122.223 en 2025— sin desglose por tipo de fraude. Cualquier cifra que atribuya un número concreto de casos de quishing a estos organismos no procede de ellos.

Lo que sí está documentado es la alerta oficial: el FBI emitió en enero de 2022 un aviso público sobre manipulación de códigos QR para desviar pagos, describiendo el modus operandi que sigue vigente — pegatinas sobre códigos legítimos en parquímetros, cartas y terminales de pago.

Por qué no hay «datos de quishing en España»

Es tentador poner aquí una tabla con incidentes, pérdidas y comunidades más afectadas. No se puede, y conviene explicar por qué, porque la ausencia de esa tabla dice más del fenómeno que cualquier cifra inventada:

• El INCIBE publica su Balance con el agregado y el desglose por tipo de incidente —malware, fraude online, phishing—, pero no por modalidad concreta de fraude: el quishing va dentro de «fraude online», sin separar.
• La Policía Nacional y la Guardia Civil difunden alertas y operaciones, no series estadísticas por modalidad.
• El Ministerio del Interior, en su Informe sobre la Cibercriminalidad, cuenta hechos conocidos por tipología penal —estafa informática, art. 249 CP—, y un quishing se contabiliza ahí junto a cualquier otra estafa digital. La técnica no deja rastro en la estadística.

Esa es exactamente la razón de que el quishing sea difícil de dimensionar: no existe la categoría. Cualquier cifra que se le atribuya a un organismo español desglosando quishing por sector, comunidad autónoma o tasa de recuperación no puede proceder de él.

Análisis forense de un ataque de quishing

Cuando una víctima de quishing acude a un perito informático forense, el análisis sigue una metodología rigurosa que permite documentar el ataque, identificar al atacante cuando es posible, y generar un informe pericial admisible como prueba.

Proceso de análisis forense

Herramientas forenses para análisis de QR

Ejemplo de análisis forense

═══════════════════════════════════════════════════════════
  PLANTILLA DE ANÁLISIS — QUISHING SOBRE PARQUÍMETRO
  Expediente: [referencia del caso]
═══════════════════════════════════════════════════════════

EVIDENCIA: pegatina QR superpuesta sobre parquímetro [ubicación]
FOTOGRAFÍA: evidencia-001.jpg (SHA-256 completo, nunca truncado)
FECHA CAPTURA: [ISO 8601 con offset, p. ej. 2026-03-15T11:42:00+01:00]
GPS: [coordenadas de la captura, tomadas del EXIF]

DECODIFICACIÓN QR:
  Contenido: https://madrid-aparcamiento.online/pago?zona=A12
  Tipo: URL
  Versión QR: 6 (41x41)
  Corrección errores: M (15%)

ANÁLISIS DOMINIO:
  Dominio: madrid-aparcamiento.online
  Registrado: 10/03/2026 (5 días antes del incidente)
  Registrador: [registrador]
  WHOIS privado: Sí (WhoisGuard)
  IP: [dirección] ([país])
  Hosting: [proveedor]

COMPARACIÓN CON DOMINIO LEGÍTIMO:
  Legítimo: madrid.es/aparcamiento
  Fraudulento: madrid-aparcamiento.online
  Diferencias:
    - TLD diferente (.online vs .es)
    - Estructura de dominio diferente
    - IP en otro país (el legítimo resuelve en España)
    - Dominio de 5 días de antigüedad (legítimo: >10 años)

SITIO DE PHISHING:
  - Copia visual de la pasarela de pago del Ayuntamiento de Madrid
  - Formulario captura: nombre, email, número de tarjeta, CVV, caducidad
  - Datos enviados a: https://madrid-aparcamiento.online/api/collect
  - Certificado SSL: Let's Encrypt (legítimo pero gratuito)
  - Kit de phishing: [familia identificada], modificado

INFRAESTRUCTURA:
  Mismo servidor aloja:
    - barcelona-parquimetro.online (registrado 08/03/2026)
    - sevilla-parking-pago.online (registrado 12/03/2026)
    - valencia-aparcamiento.com (registrado 11/03/2026)
  → Campaña organizada contra múltiples ciudades españolas

TIMELINE:
  10/03 — Registro del dominio
  12/03 — Certificado SSL emitido (Let's Encrypt)
  13/03 — Primera indexación del sitio (Shodan)
  14/03 — Pegatinas colocadas en parquímetros (estimación)
  15/03 — Víctima escanea QR e introduce datos
  [fecha] — cargos fraudulentos en tarjeta (importe)
  16/03 — Víctima denuncia ante Policía Nacional

Tipos específicos de quishing

Quishing bancario

El quishing bancario es especialmente peligroso porque los atacantes crean réplicas convincentes de las pasarelas de pago o banca online:

Quishing corporativo

Los ataques de quishing dirigidos a empresas pueden causar daños especialmente graves:

Quishing de multas y administración pública

Marco legal del quishing en España

Tipificación penal

Responsabilidad bancaria

En los casos de quishing donde la víctima facilita sus datos bancarios y se producen cargos fraudulentos, la legislación de servicios de pago establece un marco de responsabilidad:

⚠️ Dos precisiones que cambian el resultado y suelen citarse mal. El estándar del art. 46 no es «actuar razonablemente» ni «ignorar señales claras»: es fraude o negligencia grave, que es un listón mucho más alto y que corresponde acreditar al proveedor. Y la devolución del art. 45 no está condicionada a lo sofisticado que fuera el engaño: es inmediata, con una excepción que está en el propio art. 45.1: que el proveedor tenga sospecha razonable de fraude y la comunique por escrito al Banco de España.

Un informe pericial no cambia el régimen legal. Lo que hace es documentar los hechos sobre los que se discute si hubo negligencia grave, y su valor lo pondera el tribunal por sana crítica (art. 348 LEC).

Dónde denunciar

Detección y prevención del quishing

Cómo detectar un código QR fraudulento

Antes de escanear:

Después de escanear (antes de abrir):

Medidas de prevención para usuarios

Medidas de prevención para empresas

QR dinámicos vs estáticos: implicaciones de seguridad

Comparativa técnica

Riesgos específicos de QR dinámicos

Quishing y la inteligencia artificial

Cómo la IA está potenciando el quishing

Cómo la IA puede defender contra el quishing

Modalidades de quishing con aviso oficial en España

Aquí conviene ser estricto con lo que se puede afirmar. La Policía Nacional ha alertado públicamente de estas modalidades, y esas alertas describen el modus operandi; lo que no existe es un recuento público de víctimas o importes por modalidad, porque el quishing no se desglosa en ninguna estadística oficial: el INCIBE lo contabiliza dentro de «fraude online» y ni la Policía ni la Guardia Civil publican series por tipo de señuelo.

Cualquier cifra concreta de «X víctimas y Y euros en la campaña de las multas falsas» que circule por internet no tiene fuente. Lo que sigue es lo verificable: cómo funciona cada modalidad.

La multa falsa en el parabrisas

La más extendida y la que más se parece a un documento oficial. El aviso reproduce la imagen de la policía municipal, con calle, fecha, hora de la supuesta infracción, una firma de agente y un código QR que invita a pagar «con descuento por pronto pago». El QR lleva a una pasarela de pago falsa o a un formulario que captura los datos de la tarjeta.

La comprobación que lo desmonta en diez segundos: no es que el QR impreso sea imposible —lo hay en notificaciones reales—, sino a dónde lleva. Decodifícalo sin abrirlo y mira el dominio: una sanción se consulta y se paga en la sede electrónica del ayuntamiento o de la DGT, entrando por la URL oficial tecleada a mano, nunca por un enlace que llega en el papel.

La pegatina sobre un QR legítimo

Sobre el menú de un restaurante, el cartel de un parquímetro o el surtidor de una gasolinera. Es el ataque con menor coste de ejecución y el más difícil de detectar, porque el soporte es auténtico: el establecimiento no ha sido comprometido, solo se le ha pegado algo encima.

La comprobación: pasar el dedo por el borde del código. Una pegatina superpuesta se nota al tacto y suele tener un reborde o burbujas de aire. Y ningún establecimiento pide los datos completos de la tarjeta para ver una carta.

Lo que el perito puede extraer de un QR impreso

Aquí es donde el análisis aporta algo que la víctima no ve, y no depende de ningún caso concreto:

Comparación: quishing frente a otros ataques de phishing

⚠️ Ningún organismo publica tasas de éxito por modalidad de phishing. Las cifras que circulan —«3-5 %», «8-12 %»— proceden de proveedores de formación en concienciación y miden sus propias campañas simuladas, no ataques reales. Este mismo artículo explica más arriba que el quishing ni siquiera se desglosa en las estadísticas de Europol, el FBI o el INCIBE: no puede haber una tasa comparada de algo que no se cuenta aparte.

El papel del perito informático en casos de quishing

Cuándo se necesita un perito

Qué incluye el informe pericial de quishing

Análisis técnico de códigos QR maliciosos

Estructura de un QR malicioso vs. legítimo

Para el perito informático forense, comprender la estructura interna del código QR es esencial para documentar técnicamente el ataque en el informe pericial.

Decodificación paso a paso:

# Decodificación forense de un código QR con Python
# Entorno: máquina virtual aislada, sin conexión a internet

from pyzbar.pyzbar import decode
from PIL import Image
import hashlib
import json
from datetime import datetime

# 1. Cargar imagen del QR preservado
img = Image.open('evidencia-qr-001.png')

# 2. Calcular hash de la imagen
with open('evidencia-qr-001.png', 'rb') as f:
    hash_sha256 = hashlib.sha256(f.read()).hexdigest()
print(f"SHA-256: {hash_sha256}")

# 3. Decodificar contenido SIN ejecutar
decoded = decode(img)
for obj in decoded:
    qr_data = obj.data.decode('utf-8')
    qr_type = obj.type
    qr_rect = obj.rect
    print(f"Tipo: {qr_type}")
    print(f"Contenido: {qr_data}")
    print(f"Posición: {qr_rect}")

# 4. Registrar en log forense
log_entry = {
    "timestamp": datetime.now().isoformat(),
    "archivo": "evidencia-qr-001.png",
    "hash_sha256": hash_sha256,
    "contenido_qr": qr_data,
    "tipo_qr": qr_type,
    "accion": "Decodificación offline — contenido NO ejecutado"
}

with open('log-forense.json', 'a') as log:
    json.dump(log_entry, log)
    log.write('\n')

Técnicas de ofuscación en URLs de quishing

Los atacantes utilizan diversas técnicas para ocultar la naturaleza maliciosa de la URL embebida en el código QR:

Análisis de la pegatina física

Cuando el QR malicioso es una pegatina física, el análisis forense puede extenderse al soporte material:

Guía de respuesta ante incidentes de quishing

Para la víctima individual

Para empresas con QR comprometidos

Plan de comunicación de crisis por quishing

Quishing en el contexto de la ciberseguridad empresarial

Integración en el plan de concienciación

El quishing debe incluirse en los programas de concienciación en ciberseguridad de las empresas, especialmente tras su crecimiento exponencial:

Evaluación del riesgo de quishing por sector

Futuro del quishing (tendencias 2026-2028)

Conclusión

El quishing representa una evolución del phishing que explota la confianza generalizada en los códigos QR y la incapacidad de los sistemas de seguridad convencionales para analizar su contenido. Su crecimiento exponencial en España y a nivel global lo convierte en una de las amenazas más relevantes para usuarios y empresas.

La detección requiere concienciación del usuario (verificar URLs antes de abrirlas, desconfiar de QR en contextos inesperados) y medidas preventivas por parte de las empresas (QR dinámicos, verificación periódica, URL legible impresa). Cuando el ataque se materializa, el análisis forense del código QR y su infraestructura permite documentar el fraude, identificar al atacante cuando es posible, y generar un informe pericial que refuerce la posición de la víctima en procedimientos judiciales y reclamaciones bancarias.

Referencias y fuentes

1. FBI Internet Crime Complaint Center (IC3) — Cybercriminals Tampering with QR Codes to Steal Victim Funds, Public Service Announcement de enero de 2022. ic3.gov/PSA/2022/PSA220118

2. INCIBE — Balance de ciberseguridad 2025: 122.223 incidentes gestionados, de los que 45.445 fueron fraude online. El quishing no aparece desglosado: se contabiliza dentro de esa categoría. Nota de prensa

3. Europol — Steal, deal and repeat, Internet Organised Crime Threat Assessment (IOCTA) 2025. Trata el phishing con detalle; no emplea el término quishing ni desglosa esta modalidad, lo que es en sí un dato sobre la ausencia de estadística. europol.europa.eu · PDF

4. ISO/IEC 18004:2024 — Automatic identification and data capture techniques — QR code bar code symbology specification. Sustituye a la edición de 2015.

5. Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. Arts. 41 y 44-46 sobre autenticación reforzada y responsabilidad en operaciones de pago no autorizadas. boe.es

6. Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal — Artículos 248-251 (estafa), 264 (daños informáticos), 390 (falsedad documental), 401 (usurpación de estado civil).

7. Directiva (UE) 2015/2366 (PSD2) — Directiva de Servicios de Pago revisada. Artículo 97 sobre autenticación reforzada del cliente.

8. Policía Nacional — avisos públicos sobre qrishing: sustitución de códigos legítimos con pegatinas y falsas multas de tráfico en el parabrisas con QR de pago. Recogidos, entre otros, por El Debate (25 de marzo de 2026). La Policía no publica cifras por modalidad, solo el aviso y el modus operandi

9-10. (Referencias retiradas: citaban dos informes de fabricantes de seguridad —Barracuda y Cofense— sin enlace ni fecha comprobable. Ambas casas publican sobre quishing, pero una referencia sin documento localizable no es una referencia, y ninguna afirmación de este término dependía de ellas.)

11. NIST SP 800-63B-4 (julio de 2025) — Digital Identity Guidelines: Authentication and Authenticator Management. Sustituye a la SP 800-63B original, que el NIST marca como retirada.

12. Electronic Frontier Foundation — Investigating Machine Identification Code Technology in Color Laser Printers, con la guía de decodificación del patrón de las Xerox DocuColor y la lista de impresoras que dejan o no dejan rastro. Es la fuente que documentó los puntos amarillos desde 2004; no la publicó ningún fabricante

Última actualización: 29 de agosto de 2026 Categoría: Ciberataques Código: CIB-050