El quishing ha esdevingut una de les amenaces que avança a més velocitat dins del phishing. La idea és senzilla: un codi QR aparentment inofensiu amaga una adreça fraudulenta. Microsoft ha posat xifres a aquest creixement: el març del 2026 va detectar 18,7 milions d'atacs d'aquest tipus, davant els 7,6 milions del gener, fet que suposa un increment del 146% en només tres mesos.
El problema es recolza en gestos que ja formen part de la rutina. Escanejar la carta d´un restaurant, pagar l´aparcament, descarregar una entrada o consultar informació turística s´ha tornat normal. Aquesta familiaritat és la que aprofiten els ciberdelinqüents. Experts d'Àudea, la unitat de ciberseguretat de Logicalis Spain, insisteixen que l'adreça web queda oculta fins que s'obre l'enllaç, i això redueix els senyals d'alarma que l'usuari podria detectar a primera vista.
Per què un codi QR amaga l'engany i salta de l'ordinador al mòbil
A diferència d'un enllaç escrit, el QR no mostra l'URL abans d'escanejar-lo. Andrés Cartes Guilarte, consultor de Cultura de Ciberseguretat d'Àudea, assenyala que aquesta opacitat és un dels grans avantatges per a l'atacant. L'usuari no pot comprovar si la destinació és legítima i, en molts casos, l'escaneig es fa des del mòbil , cosa que trasllada la interacció fora de l'ordinador corporatiu i dels controls de seguretat de l'empresa.
Un cop obert l'enllaç, la víctima pot acabar en pàgines que imiten serveis corporatius, plataformes bancàries o pantalles d'autenticació. L'objectiu depèn del frau, però sol passar per obtenir credencials, dades personals o informació financera . Aquesta suplantació és més creïble quan el missatge arriba en un context conegut, com una suposada comunicació interna o un avís d'una entitat que l'usuari utilitza habitualment.
Microsoft també va identificar durant el mateix període al voltant de 8.300 milions d'amenaces de pesca distribuïdes per correu electrònic. La companyia va qualificar el quishing com el vector d'atac que va créixer més ràpid en aquest tram, una tendència que encaixa amb l'expansió de l'ús de codis QR en tot tipus d'entorns.
PDF, correus i documents de Microsoft 365: els canals preferits
L'Email Threats Report 2026 de Barracuda deixa diverses dades cridaneres. El 70% dels PDF maliciosos analitzats contenia codis QR que dirigien a pàgines de pesca. És a dir, el document actua com a disfressa perquè la víctima confiï a l'arxiu i no sospiti del codi que apareix al seu interior.
El mateix informe detalla que el 56% dels documents maliciosos de Microsoft 365 incloïa quishing. A més, els codis inserits directament al cos dels missatges de correu electrònic van augmentar un 336% el març de 2026 . Els atacants no es limiten als fitxers adjunts: també col·loquen el QR al propi text del missatge per ampliar les possibilitats que algú l'escanegi.
Des d'ESET apunten al Threat Report H1 2026 que fins a l' 11% de tot el phishing de la primera meitat de l'any es va produir en modalitat quishing. La firma adverteix que les tècniques s'estan refinant: hi ha campanyes que busquen fer-se amb tokens d'autenticació multifactor, instal·lar codi maliciós, aconseguir que la víctima descarregui aplicacions malicioses o utilitzar aplicacions legítimes del telèfon com a part de l'engany.
Josep Albors, responsable d'Investigació i Conscienciació d'ESET Espanya, explica que els atacants poden camuflar encara més el codi incrustat-lo en fitxers PDF, imatges JPEG o altres documents , o recorrent a serveis que escurcen adreces abans de generar el QR. Alhora, el missatge que acompanya el codi pot tenir molt poc text, cosa que elimina pistes clàssiques com errors ortogràfics, enllaços visibles o dominis estranys.
Del menú del restaurant al pàrquing: risc físic i mesures de defensa
El perill no queda a la safata d'entrada. Els codis QR col·locats en restaurants, comerços, mitjans de transport, aparcaments i serveis turístics plantegen el mateix problema: tampoc no es pot comprovar abans d'escanejar- los quina pàgina mostraran. En espais públics, a més, el codi pot haver estat manipulat o substituït per un altre fraudulent.
INCIBE va recollir a l'agost un cas real que il·lustra bé el risc. Una usuària va escanejar el codi QR de la carta d'un restaurant i, després d'accedir a l'enllaç i acceptar una finestra emergent, va activar sense voler una subscripció premium no sol·licitada . Altres clients del mateix establiment van viure situacions similars, fet que mostra que el problema no va ser un error aïllat d'una sola persona.
L´expansió d´aquesta tecnologia explica part del fenomen. Segons dades recopilades per QR TIGER, al voltant del 75% dels restaurants de tot el món ja fan servir codis QR per facilitar l'accés a menús digitals. L'ús d'aquesta eina en màrqueting i publicitat va créixer un 323% entre el 2021 i el 2023, una xifra que ajuda a entendre per què els delinqüents hi han posat el focus.
Per a les empreses, ESET recomana incloure el quishing als programes de conscienciació i als exercicis de simulació, de manera que els empleats aprenguin a reconèixer codis QR sospitosos. També aconsella evitar l'escaneig de codis presents a correus no sol·licitats i reportar qualsevol missatge que resulti estrany.
Quan un empleat cregui que un missatge ve d'una font fiable, convé verificar-ho per un canal independent , usant dades de contacte que no procedeixin del propi correu. Aquesta comprovació evita que la confirmació depengui de la informació que ha enviat el possible atacant.
La protecció tècnica també importa. Entre les mesures esmentades hi ha les solucions de seguretat de correu electrònic, les eines de seguretat mòbil, la gestió de dispositius mitjançant MDM, l' autenticació multifactor resistent al phishing , el principi de mínim privilegi, els accessos just-in-time, les actualitzacions periòdiques i la supervisió de comportaments anòmals. A això s'hi afegeix la necessitat de provar els plans de resposta davant d'incidents per reaccionar amb rapidesa si l'atac arriba a produir-se.
- Seguretat de correu i mòbil per bloquejar enllaços i codi maliciós.
- Gestió de dispositius MDM per aplicar polítiques mínimes.
- MFA resistent al phishing i principi de mínim privilegi.
- Actualitzacions, accessos just-in-time i supervisió contínua.
El patró que deixen totes aquestes xifres és clar: el quishing ha trobat un lloc a la vida diària perquè els codis QR són còmodes, ràpids i estan per tot arreu. Aquesta mateixa normalitat és la que el converteix en una amenaça difícil de veure. La clau és desconfiar de l'inesperat , comprovar el context abans d'escanejar i aplicar mesures de seguretat que acompanyin l'usuari des del correu fins al mòbil, passant pels documents i els espais físics.
