Quishing y enlaces acortados: cómo inspeccionar códigos QR y redirecciones HTTP antes de abrirlos

En la vida cotidiana nos hemos acostumbrado a escanear códigos QR para ver el menú de un restaurante, pagar el estacionamiento, conectarnos a una red Wi-Fi o rastrear un paquete. Sin embargo, tanto un código QR como un enlace acortado tienen algo en común: le ocultan a tus ojos el verdadero dominio al que estás a punto de entrar.

1. ¿Qué es el Quishing y por qué evade filtros tradicionales?

El Quishing (QR Phishing) consiste en ocultar enlaces maliciosos o instrucciones de configuración dentro de un código QR. Los atacantes utilizan esta técnica en dos frentes:

• En el mundo físico: Imprimen etiquetas adhesivas con códigos QR falsos y las pegan exactamente encima de los carteles legítimos en parquímetros, estaciones de carga, cajeros o mesas de restaurantes.
• En correos corporativos: En lugar de poner un link de texto que el filtro antispam de la empresa analizaría y bloquearía de inmediato, incrustan una imagen con un código QR pidiendo escanearlo desde el celular personal para "validar la cuenta". Al pasar del equipo corporativo al teléfono móvil, el usuario sale del perímetro de protección de la red.

2. Cadenas de redirección HTTP (Saltos 301 y 302)

Los acortadores de URL y los códigos QR dinámicos rara vez apuntan de forma directa a la página final. En su lugar, utilizan cadenas de redirección HTTP mediante códigos de estado 301 Moved Permanently o 302 Found y la cabecera Location:

1. El primer salto pasa por un acortador comercial legítimo, lo que evita que el enlace sea bloqueado a simple vista.
2. El segundo salto redirige a un rastreador intermedio que analiza desde qué país y qué dispositivo estás entrando (User-Agent).
3. El salto final aterriza en un dominio recién registrado que clona el inicio de sesión de tu correo, banco o pasarela de pago.

Incluso la vista previa que muestran las aplicaciones de mensajería puede ser engañada (Cloaking): cuando el servidor detecta que quien pide la página es el robot de vista previa del chat, le entrega los metadatos de un sitio inofensivo; pero cuando detecta el navegador real de tu teléfono, te desvía al sitio fraudulento.

3. Cómo inspeccionar un enlace o código QR sin abrir el navegador

En ciberseguridad y análisis OSINT nunca abrimos un enlace sospechoso en un navegador con sesiones activas. En su lugar, inspeccionamos las cabeceras HTTP paso a paso:

curl -I -s https://ejemplo-acortador.tld/promo-89x

Al solicitar únicamente los encabezados (HEAD) sin seguir redirecciones a ciegas ni ejecutar código JavaScript, podemos leer el campo Location: de cada salto hasta descubrir el dominio real de destino. Del mismo modo, una imagen de código QR puede decodificarse en local para extraer la cadena de texto cruda antes de visitar ninguna dirección.

4. Regla práctica de defensa en tres pasos

• Desactiva la apertura automática en tu cámara: Configura tu teléfono para que siempre muestre el texto del enlace en pantalla y requiera tu confirmación antes de abrir el navegador.
• Nunca pagues ni inicies sesión desde un QR callejero: Si escaneas un código en la vía pública o en un comercio y la página te pide tarjeta bancaria, contraseña o código de verificación, ciérrala de inmediato.
• Escribe manualmente la dirección oficial: Si recibes un aviso urgente de paquetería, banco o servicio público, no uses el link del mensaje ni el QR; abre tú mismo la aplicación oficial o escribe el dominio conocido en el navegador.

Defensa contra ingeniería social y análisis en ViciousByte

En ViciousByte ayudamos a organizaciones a detectar y desarmar campañas de phishing e ingeniería social híbrida antes de que impacten a sus equipos, combinando análisis técnico de infraestructura con cultura práctica de seguridad TI.

Knowledge is free. Comparte esta guía para evitar fraudes por códigos QR y enlaces ocultos.