Un empleado recibe un correo aparentemente enviado por Recursos Humanos en el que se le pide escanear un código QR para consultar una nómina, revisar un documento o completar una gestión pendiente. El mensaje llega a su ordenador corporativo, protegido por las herramientas de seguridad de la empresa, pero el código se escanea con el teléfono móvil. En cuestión de segundos, el ataque puede haber pasado de un entorno controlado por la organización a un dispositivo personal o no gestionado que no cuenta necesariamente con las mismas medidas de protección.

Este salto entre dispositivos es una de las características que ha convertido al quishing, una modalidad de phishing que utiliza códigos QR para ocultar enlaces o acciones maliciosas, en un riesgo creciente para las empresas. Según el ESET Threat Report H1 2026, los códigos QR maliciosos estuvieron presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026.