Los filtros de seguridad modernos saben leer códigos QR incrustados en imágenes de correo electrónico. Los estafadores también lo saben. Y han encontrado la vuelta: en lugar de insertar una imagen con el código QR, lo construyen carácter a carácter con texto. El resultado es visualmente parecido a un QR, pero técnicamente no es una imagen — y eso lo hace invisible para buena parte de los sistemas de detección actuales.
Kaspersky documentó esta técnica el 21 de mayo de 2026 en su blog oficial, bajo el nombre de ASCII QR phishing. Está activa ahora mismo.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Qué es el arte ASCII y por qué vuelve en 2026
El arte ASCII es una técnica que consiste en construir imágenes utilizando caracteres de texto — letras, números, símbolos — en lugar de píxeles. Su nombre viene del estándar ASCII (American Standard Code for Information Interchange), adoptado en 1963. Antes de que los ordenadores pudieran mostrar gráficos, era la única forma de representar imágenes en pantalla.
En los años 2000 vivió un primer resurgimiento en el mundo del spam: los estafadores usaban arte ASCII para disfrazar palabras clave que los filtros de correo detectaban fácilmente en texto plano. Ahora ha vuelto, pero con un objetivo diferente: esta vez no se trata de ocultar palabras, sino de construir códigos QR completos que los filtros de análisis de imagen no pueden leer.
Cómo funciona el ataque
El esquema detectado por Kaspersky sigue un patrón clásico de phishing de credenciales corporativas. La víctima recibe un correo electrónico que simula ser una notificación de DocuSign — alguien le ha enviado un documento confidencial que necesita firma. Para acceder al documento, el correo pide escanear el código QR incluido en el mensaje.
Ese código QR no es una imagen. Está construido con caracteres Unicode organizados en una cuadrícula que, visualmente, se parece a un QR real. Cuando se mira el código fuente del correo, en lugar de una etiqueta de imagen hay decenas de líneas de texto con caracteres especiales dispuestos con precisión para formar los módulos del código.
El resultado es que el enlace malicioso no está en ninguna imagen que un escáner pueda analizar, ni en ningún hipervínculo que un filtro de URLs pueda interceptar. Está codificado dentro de una estructura de texto que solo el sensor de la cámara del móvil puede interpretar — y para entonces, el filtro de correo ya lo ha dejado pasar.
Por qué los filtros no lo detectan
Los sistemas de seguridad de correo electrónico trabajan en capas. Una de esas capas está especializada en detectar y leer los códigos QR incrustados como imágenes en los mensajes, extraer la URL que contienen y verificar si es maliciosa. Pero esa capa busca imágenes — no texto estructurado que se parezca visualmente a un QR.
Al construir el código con caracteres Unicode, los atacantes sortean exactamente esa capa. El escáner de imágenes no ve ningún QR porque no hay ninguna imagen. El escáner de enlaces no ve ninguna URL porque no hay ningún hipervínculo. El correo pasa los filtros y llega a la bandeja de entrada.
Como señala Kaspersky, hay una ironía histórica en esto: hace años los phishers escondían enlaces dentro de imágenes para que los filtros de texto no los vieran. Ahora esconden QRs dentro de texto para que los filtros de imagen no los vean. La lógica es la misma, pero el sentido es el opuesto.
La señal de alerta más clara
Más allá de la técnica, hay una regla simple que aplica aquí: ningún servicio legítimo pedirá jamás escanear un código QR en un correo electrónico para introducir credenciales corporativas en el móvil.
DocuSign, Microsoft, Google y cualquier plataforma de firma digital envían un enlace en el que hacer clic directamente desde el ordenador. Pedir que se escanee un QR para autenticar algo en el móvil es una señal de alerta inmediata, independientemente de si el código está construido con imágenes o con texto.
Y cuando ese código QR tiene una apariencia extraña — con huecos visibles entre líneas, con caracteres que no encajan perfectamente — es porque está construido con arte ASCII. Eso ya no es una señal de alerta: es la confirmación de que se trata de un intento de phishing.
Qué hacer si recibes un correo con un QR inusual
No escanees el código. Aunque el remitente parezca legítimo y el contexto sea convincente — un documento pendiente de firma, una notificación urgente, un acceso que caduca — el QR no es el canal correcto para acceder a ningún servicio corporativo.
Si tienes dudas sobre si el correo es legítimo, puedes analizarlo en ORTSLAB antes de interactuar con él. El motor detecta los indicadores de riesgo en segundos, sin necesidad de registro y sin guardar el contenido del mensaje.
Si el correo procede de un servicio que realmente usas, accede directamente desde el navegador escribiendo la URL oficial — nunca a través de un QR recibido por correo.
Análisis forense: Oscar Orts · Perito Informático Judicial · ORTSLAB.ES
Fuentes: Kaspersky Official Blog (mayo 2026) · BizCommunity · RaillyNews