Los filtros de seguridad del correo electrónico llevan décadas aprendiendo a detectar imágenes maliciosas, enlaces ocultos y adjuntos peligrosos. Los atacantes lo saben, y en los últimos meses han recuperado una técnica antigua con una aplicación completamente nueva: construir códigos QR usando únicamente caracteres de texto.
El resultado es un correo que no contiene ninguna imagen adjunta, pero que el ojo humano interpreta perfectamente como un código QR escaneable. Los filtros automáticos, en cambio, solo ven texto — y lo dejan pasar.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Qué es un código QR de ASCII art
Un código QR convencional es una imagen: un archivo PNG o JPEG que los filtros de seguridad pueden analizar, extraer la URL incrustada y verificar si es maliciosa. Esto ha llevado a que muchos sistemas de protección del correo incluyan motores de análisis de imágenes específicamente diseñados para detectar QR codes.
La técnica del ASCII art QR esquiva este análisis de una forma elegante: en lugar de incrustar una imagen, el atacante construye el patrón visual del código QR usando caracteres Unicode de bloque — principalmente el carácter █ (bloque sólido) y el espacio en blanco. El resultado se incluye en el cuerpo del correo como texto plano o HTML.
Desde el punto de vista del filtro de seguridad, no hay ninguna imagen que analizar. Desde el punto de vista del usuario, hay un código QR perfectamente legible que cualquier smartphone puede escanear.
Por qué funciona
Los filtros de seguridad del correo no pueden extraer la URL maliciosa de un código QR construido con caracteres de bloque ASCII/Unicode porque técnicamente no es una imagen — es texto renderizado visualmente.
La técnica aprovecha una brecha fundamental en cómo los sistemas de seguridad categorizan el contenido: lo que parece una imagen no siempre lo es técnicamente, y los motores de análisis de imágenes solo se activan cuando detectan archivos de imagen reales.
Además, el 73% de los usuarios escanean códigos QR sin verificar a dónde lleva el enlace, lo que convierte cualquier variante de esta técnica en un vector de ataque especialmente efectivo.
La evolución: de quishing a ASCII quishing
El quishing — phishing mediante códigos QR — ya era una amenaza consolidada antes de esta variante. En 2025 se detectaron 1,7 millones de códigos QR maliciosos únicos en adjuntos de correo electrónico.
La variante ASCII añade una capa de evasión adicional. Barracuda documentó en octubre de 2024 la aparición de códigos QR construidos con bloques de texto ASCII/Unicode, y anticipó que esta táctica seguiría evolucionando en 2025 y más allá. El informe de Kaspersky publicado esta semana confirma que la técnica sigue activa y en uso en campañas reales.
Algunos atacantes combinan además esta técnica con Blob URIs — enlaces que generan el contenido de la página de phishing localmente en el navegador de la víctima, sin necesidad de alojar nada en un servidor externo. Estas Blob URIs se crean dinámicamente y pueden expirar rápidamente, lo que las hace difíciles de rastrear y analizar por los sistemas de seguridad.
Cómo llega al usuario
El flujo habitual de un ataque de ASCII QR phishing es el siguiente:
- La víctima recibe un correo aparentemente legítimo — una alerta de seguridad, una notificación de entrega, una factura pendiente.
- El cuerpo del correo incluye lo que parece un código QR, con un mensaje invitando a escanearlo para completar una verificación o acceder a un documento.
- El usuario escanea el código con su smartphone, que lo redirige a una página de phishing que imita a un servicio legítimo.
- La víctima introduce sus credenciales en la página falsa.
El salto del ordenador al smartphone es intencional: los dispositivos móviles suelen tener menos controles de seguridad activos que los equipos corporativos gestionados.
Señales de alerta
Aunque los filtros automáticos tienen dificultades para detectar esta técnica, el usuario puede identificar señales de advertencia:
- Desconfía de cualquier correo que te pida escanear un código QR. Los servicios legítimos raramente requieren este paso para verificaciones de seguridad o acceso a documentos.
- Verifica el remitente antes de escanear. Un código QR en un correo de un remitente desconocido o con dominio sospechoso es una señal clara de alerta.
- Comprueba la URL antes de introducir datos. Cuando escanees un código QR, el smartphone te muestra la URL de destino antes de abrirla. Verifica que corresponde al dominio oficial del servicio que supuestamente te contacta.
- Analiza el mensaje en ORTSLAB antes de actuar. Si recibes un correo con un código QR sospechoso, pega el texto del mensaje en el scanner de ORTSLAB — el motor detecta patrones de quishing y analiza las URLs de destino en tiempo real.
Conclusión
El ASCII QR phishing es un ejemplo de cómo los atacantes adaptan técnicas antiguas a nuevos contextos para mantener su ventaja sobre los sistemas de defensa. La creatividad en la evasión no tiene límite — y la respuesta no puede basarse únicamente en filtros automáticos.
La concienciación del usuario sigue siendo la línea de defensa más efectiva: desconfiar de los códigos QR no solicitados, verificar el destino antes de escanear y analizar cualquier mensaje dudoso antes de actuar.
Fuentes: Kaspersky Blog (mayo 2026) · Barracuda Networks Threat Spotlight (octubre 2024) · Acronis Cyberthreats Report 2026