No confíes en un QR hasta que haya sido despejado.

El quishing es el phishing con códigos QR: un atacante imprime, pega, envía por email o por mensaje un código QR que, al escanearlo, abre una página de robo de credenciales, una transacción vaciadora de billetera, una trampa WiFi abierta o un intent de Android que instala malware. El propio QR es solo una imagen, por lo que los filtros de enlaces en el correo y las advertencias del navegador nunca lo ven hasta que el teléfono de la víctima ya ha abierto el destino. La defensa debe ocurrir en el momento del escaneo, antes de que el teléfono siga el enlace.

Tres diferencias. El vector de ataque es físico o visual, una pegatina sobre un QR de parquímetro, un volante impreso que imita una inscripción en MFA, un QR de menú de restaurante reemplazado de noche, por lo que elude por completo los gateways de email. Las víctimas confían más en los QR que en los enlaces de correo; un QR parece un destino elegido por quien imprimió el soporte. Y los códigos QR dinámicos que pasan por un acortador pueden reapuntarse a un destino de phishing después de distribuir el activo impreso, de modo que un QR que era seguro al imprimirse puede volverse hostil meses después. Los escáneres de enlaces estáticos responden a «¿es esta URL maliciosa ahora?», no a «¿quién puede cambiar adónde apunta?».

No apuntes la cámara nativa de tu teléfono hacia él, eso abre el destino de inmediato. En cambio, abre check.qr.abundera.ai en tu teléfono, escanea el QR con la cámara integrada en la página (la decodificación ocurre localmente; la imagen nunca sale de tu dispositivo) y lee el veredicto. Recorremos cada salto de redirección, clasificamos si el destino puede ser modificado por un tercero después de imprimir el QR y comprobamos la reputación en Google Safe Browsing y otros agregadores. Los veredictos Despejado son seguros para abrir; los veredictos Precaución y No continuar te explican el motivo.

Pegatinas en parquímetros y cargadores de vehículos eléctricos que superponen el QR legítimo con uno que apunta a una página de robo de tarjetas de crédito, el patrón más denunciado de 2024-2025, detectado en Austin, San Antonio y el Reino Unido. QRs de menú de restaurante reemplazados por páginas de phishing de noche por un atacante que sustituye físicamente el soporte de mesa. Volantes de inscripción en MFA corporativa en baños de oficinas que parecen oficiales pero inscriben el dispositivo del atacante. QRs de invitación de boda distribuidos meses antes del evento, donde el compromiso de la cuenta del acortador permite al atacante reapuntar miles de tarjetas impresas. QRs de pago cripto en terminales de punto de venta superpuestos con la dirección de billetera del atacante. El hilo común: el QR impreso es idéntico al seguro.

Las herramientas existentes clasifican si una URL es actualmente maliciosa. Nosotros clasificamos además si el destino puede ser controlado por un tercero después de imprimir el QR, una propiedad que llamamos mutabilidad. Un QR dinámico limpio enrutado por un acortador sigue siendo de alto riesgo en una pegatina de parquímetro o una invitación de boda: el titular de la cuenta del acortador puede cambiar el destino en cualquier momento. Exponemos esta postura de control como un campo de veredicto de primer nivel junto al veredicto de contenido de amenaza.

No. El payload decodificado viaja a nuestro servidor por HTTPS para que podamos recorrer la cadena y consultar bases de datos de reputación, una necesidad funcional, no una opción, pero nunca se persiste. Los veredictos se almacenan en caché mediante un hash SHA-256 de un discriminador específico por tipo de payload concatenado con una sal secreta del servidor. El payload original no puede reconstruirse a partir de ninguna entrada de caché.

qr.abundera.ai es un generador que garantiza que todo ocurre en el lado del cliente: nada sale de tu dispositivo. Este comprobador de seguridad transmite el payload decodificado al servidor por necesidad. Separamos ambas superficies para que la promesa de solo-cliente se mantenga limpia en el dominio generador, y la superficie con modelo de privacidad invertido quede claramente etiquetada aquí.

Nivel Pro. Envía un QR para seguimiento y recorremos la cadena periódicamente. Recibirás un email cuando cambien los destinos de redirección, el destino final o el conjunto de operadores de servicios de redirección. Esto detecta el patrón de quishing más común en la práctica: imprimir un QR limpio, cambiar el destino a phishing meses después y recoger los escaneos del activo impreso.

Sí, en el nivel Pro. La API es RESTful, devuelve un veredicto JSON estructurado con tipo de payload, clase de amenaza, mutabilidad, cadena de redirección, atribución de control por salto y hallazgos de sub-payloads. Diseñada para integrarse en aplicaciones de billetera, suites de seguridad móvil, filtrado de URL empresarial y enriquecedores de vista previa de enlaces en Slack y Teams corporativos.

Por el momento, no. El clasificador es de código cerrado mientras el trabajo de patentes subyacente está en tramitación. Es posible que publiquemos implementaciones de referencia de los algoritmos divulgados después de la concesión. El contrato de la API es público y estable.