Ciberseguridad y correo corporativo

Un código QR dentro de un correo no vuelve confiable su destino. Si te pide iniciar sesión, aprobar un acceso o pagar desde el celular, detente y verifica la solicitud por un canal conocido.

En una pyme, un mensaje que promete entregar una factura, actualizar el acceso al correo o completar un pago puede terminar llevando al personal del equipo de trabajo a su teléfono. Ese cambio de dispositivo es importante: la revisión debe acompañar al usuario, no quedarse únicamente en el filtro de la bandeja de entrada.

Esta guía trata un riesgo vigente, no una campaña nueva detectada hoy. Se contrastaron la explicación del NCSC británico del 8 de febrero de 2024, documentación de Microsoft Learn sobre protección antiphishing y la guía independiente de How-To Geek del 3 de febrero de 2025. Consulta: 31 de octubre de 2026. Las medidas de operación propuestas son recomendaciones de Tiser; no implican que todos los productos de correo incluyan las mismas funciones.

Qué es el quishing y qué no demuestra un QR

El quishing es phishing que utiliza códigos QR para conducir a la víctima a un destino engañoso. El código puede ocultar visualmente una dirección hasta que el lector la interpreta. La página resultante puede imitar un inicio de sesión o un cobro legítimo y pedir datos que el usuario no entregaría a un remitente desconocido.

No todos los QR son peligrosos y leer uno no demuestra que el teléfono haya sido comprometido. Conviene distinguir entre visualizar una dirección, abrir una web, introducir credenciales, autorizar una operación e instalar una aplicación. El nivel de respuesta depende de lo que realmente ocurrió; no es correcto afirmar que cualquier escaneo produce una infección.

Por qué mover el trámite al móvil cambia la revisión

El NCSC explica que algunos controles de correo no inspeccionan las imágenes y que un teléfono personal puede no tener las mismas protecciones que el equipo de la empresa. Describe así una posible vía para que el enlace llegue al usuario; no afirma que todo QR evada cualquier filtro ni que todos los teléfonos personales sean inseguros.

Microsoft documenta varias capas de protección contra phishing: análisis de suplantación, autenticación del remitente, políticas e inteligencia de correo, con capacidades adicionales según el producto y plan. Esa documentación no permite prometer detección universal de QR para cualquier cuenta. Antes de comprar o anunciar una función, verifica su disponibilidad, configuración y alcance en tu servicio concreto.

How-To Geek también advierte que los acortadores y servicios intermedios pueden dificultar reconocer el destino, y que un QR impreso puede ser sustituido mediante una pegatina. Su cobertura aporta contexto independiente; aquí no se convierten esas observaciones de 2025 en estadísticas ni en una alerta nueva de octubre de 2026.

Un procedimiento corto para recepción, administración y ventas

Si una solicitud legítima usa un proveedor externo o un dominio diferente, no hay que declararla fraudulenta automáticamente. El responsable debe comprobar esa relación por separado y documentar cuál es el flujo autorizado. La persona que atiende al cliente necesita una alternativa concreta, no solo la instrucción de “tener cuidado”.

Ejemplo: una supuesta actualización del acceso al correo

Imagina un mensaje que anuncia el bloqueo de la cuenta al terminar el día y ofrece un QR para “actualizar la seguridad”. La persona lo recibe en la computadora, abre la página desde el móvil y encuentra una pantalla de inicio de sesión muy parecida a la habitual.

La respuesta recomendada es entrar al correo por la aplicación conocida y consultar al soporte interno mediante su canal registrado. No introducir la contraseña ni un código de verificación en la web del mensaje. Si existe realmente un cambio de configuración, el área responsable podrá indicar el procedimiento aprobado. Este escenario es hipotético; no describe un incidente de Tiser ni de un cliente.

Si tu negocio exhibe códigos QR, también debes revisarlos

El riesgo no se limita a correos entrantes. Una recepción, un mostrador o un estacionamiento pueden tener códigos para consultas, formularios o pagos. Designa a una persona para revisar que el material físico no haya sido alterado y que el enlace siga llevando al destino previsto.

Cuando sea posible, usa una dirección reconocible de tu propio dominio y evita intermediarios innecesarios. Si el flujo requiere una plataforma externa, explica al personal cuál es y cómo verificarla. Mantén inventario del destino, responsable y ubicación de cada código; comprueba de nuevo después de cambios de proveedor o de dominio.

Ofrece una ruta alternativa para quien no quiera escanear: atención directa, aplicación oficial o dirección conocida. En pagos, que aparezca un importe correcto no basta: valida también el destinatario mediante el procedimiento autorizado. Estas comprobaciones no sustituyen los controles financieros del negocio.

Qué hacer si alguien ya interactuó

Conserva el correo original, la hora y una descripción de las acciones realizadas. Las capturas ayudan a contextualizar, pero no sustituyen el mensaje original. Entrega esa información por un canal restringido; no publiques QR sospechosos con datos de clientes en un chat abierto.

Cómo comprobar que el procedimiento sirve

Realiza una práctica autorizada con un código inocuo que lleve a una página de entrenamiento propia, sin solicitar contraseñas ni pagos. Comprueba si el equipo identifica el destino, consulta por el canal correcto y reporta sin reenviar masivamente. No necesitas una campaña engañosa ni recopilar credenciales reales para ensayar estos pasos.

El resultado útil es tener responsables, un canal accesible y una respuesta proporcional a lo ocurrido. Un filtro reduce riesgo; una capacitación mejora decisiones. Ninguno garantiza por sí solo que todo intento de phishing será bloqueado.