CAPA DE CONFIANZA PARA LA NAVEGACIÓN POR QR
Un código QR indica adónde apunta.
No si deberías ir.
Escanear un código QR es una decodificación, no una decisión de confianza. QR Trust es un marco por capas que da a los escáneres una respuesta real: quién emitió este código, si su destino sigue aprobado y si es seguro en este momento.
Transcripción del vídeo
- 0:00Cada día, miles de millones de personas apuntan una cámara a un código QR y siguen el enlace que aparezca. Esa acción es pura decodificación, no verificación.
- 0:10El código en sí no lleva ninguna prueba de origen. Cualquiera puede imprimir uno, y una pegatina colocada sobre un código real hereda su contexto.
- 0:20Los atacantes explotan esa brecha: pagos de aparcamiento falsos, cartas de restaurante manipuladas, carteles de phishing. El escaneo parece fiable precisamente porque la superficie parece oficial.
- 0:30Las defensas actuales inspeccionan la dirección de destino o la contrastan con listas de bloqueo. Ambas van por detrás de atacantes que rotan dominios más rápido de lo que las listas se actualizan.
- 0:40El cifrado tampoco cierra la brecha. Un candado demuestra que la conexión es privada; no dice nada sobre quién está al otro lado.
- 0:50Las firmas digitales ayudan, pero una firma solo demuestra quién firmó una carga útil. No puede demostrar que el firmante fuera homologado, ni que el destino siga siendo seguro.
- 1:00El artículo sostiene que la confianza en un QR no es una pregunta, sino cuatro decisiones distintas, cada una respondida por una parte diferente del sistema.
- 1:10Primera: la legitimidad del emisor. ¿Creó este código una organización que una autoridad de confianza haya homologado de verdad y a la que exija responsabilidades?
- 1:20Segunda: la vinculación del destino. ¿Está el enlace del código ligado criptográficamente a ese emisor, de modo que sustituirlo o manipularlo resulte detectable?
- 1:30Tercera: la seguridad en tiempo de ejecución. ¿Sigue el destino aprobado en el momento del escaneo, o ha sido comprometido o revocado desde su emisión?
- 1:40Cuarta: la presentación. Dadas esas respuestas, ¿qué debería mostrar el escáner para que una persona corriente pueda actuar sobre el veredicto al instante?
- 1:50La arquitectura refleja el ecosistema de certificados de la web: un programa raíz se sitúa en la cúspide y admite operadores bajo reglas publicadas y auditables.
- 2:00Los operadores delegan en emisores con ámbitos acotados. Un emisor de una marca no puede firmar códigos de otra: la delegación está limitada por diseño.
- 2:10La política firmada desciende hasta los escáneres, de modo que un teléfono puede verificar un código sin conexión, sin consultar al servidor en cada escaneo.
- 2:20Cuando se produce un compromiso, la revocación se propaga por el mismo canal. Un destino que ayer era seguro puede bloquearse en minutos, en todas partes.
- 2:30Los escáneres condensan todo esto en cinco veredictos: sin verificar, firmado por un emisor desconocido, verificado, de riesgo o bloqueado por completo.
- 2:40Los problemas difíciles que quedan son de gobernanza: quién opera la raíz, cómo se homologa a los emisores a escala y cómo se mantienen alineados los incentivos.
- 2:50El modelo completo, el análisis de amenazas y la prueba de concepto son abiertos. Lee el artículo, ejecuta el código y refuta el diseño.
El problema
Cuando un teléfono escanea un código QR, decodifica una carga útil y entrega un enlace. Tres preguntas quedan sin responder:
¿Quién lo emitió?
Cualquiera puede imprimir un código QR. Una decodificación no dice nada sobre la legitimidad del emisor.
¿Sigue aprobado el destino?
Los destinos cambian. Un enlace que estaba bien al imprimirlo puede no estarlo hoy.
¿Es seguro ahora mismo?
Incluso un destino legítimo puede estar comprometido en el momento del escaneo.
Las firmas y HTTPS no lo resuelven. Una firma válida puede venir de un emisor que nadie homologó; un certificado puede proteger un destino que ha cambiado o ha sido comprometido. Son entradas de una decisión de confianza, no la decisión en sí.
La brecha se está explotando
El argumento anterior se sostiene por sí solo, pero no demuestra que nadie esté actuando en consecuencia. La telemetría del primer trimestre de 2026 sí lo hace: el phishing por QR creció con fuerza durante el trimestre mientras que la categoría de phishing por correo que lo contiene descendió.
El phishing por QR subió mientras el phishing por correo bajó
Ambas series indexadas a enero de 2026 = 100.
- Ambas series están indexadas a enero de 2026 = 100. Un total de 2600 millones y un subconjunto de 18,7 millones no pueden compartir un eje lineal a escala absoluta, y dos ejes escalados de forma independiente convertirían el punto de cruce en una decisión de autoría en lugar de una propiedad de los datos.
- El total de phishing por correo de febrero no está publicado, así que esa serie se dibuja como un único segmento en lugar de pasar por un punto intermedio inventado.
- El valor de QR de febrero —índice 159, unos 12,1 millones— se deriva de las variaciones intermensuales publicadas por Microsoft: −35 %, +59 % y +55 %. Solo enero y marzo se indican de forma explícita.
El volumen es una mitad del cuadro; la mecánica es la otra. El FBI FLASH AC-000001-MW, publicado el 8 de enero de 2026, atribuye una campaña norcoreana de Kimsuky contra objetivos estadounidenses de política e investigación a seis técnicas de ATT&CK. Las dos primeras se ejecutan antes de que la víctima escriba nada, y ambas son invisibles en el momento del escaneo:
- 01
El código QR transporta la URL
T1660
Un mensaje de spearphishing incrusta la URL maliciosa dentro de un código QR, de modo que el enlace nunca aparece como texto legible por un motor de análisis.
- 02
Un redireccionador toma la huella del dispositivo
T1598 / T1589
El primer salto recoge el agente de usuario, el sistema operativo, la dirección IP, la configuración regional y el tamaño de pantalla antes de decidir qué servir.
- 03
Una página de credenciales móvil captura el inicio de sesión
T1056.003
Web Portal Capture: una página optimizada para móvil que suplanta a Microsoft 365, Okta o un portal VPN recolecta las credenciales.
- 04
El token de sesión robado elude la MFA
T1550.004
La cookie de sesión activa se reproduce, de modo que el segundo factor que la víctima ya había superado se elude en lugar de romperse.
- 05
La manipulación de la cuenta hace persistente el acceso
T1098
Los cambios en la cuenta comprometida mantienen vivo el acceso tras una rotación de contraseña.
- 06
El phishing lateral parte del buzón de la víctima
T1566
La siguiente oleada llega desde un remitente interno real y de confianza dentro de la misma organización.
Los pasos uno y dos son exactamente la ventana que cierra una decisión de confianza en el escáner. La legitimidad del emisor no está establecida, el destino no está vinculado y la seguridad en el momento del escaneo no se ha evaluado, y el código del cartel se ve igual en cualquier caso.
- Microsoft — Email threat landscape: Q1 2026 trends and insights
- FBI — FLASH AC-000001-MW, 8 de enero de 2026
- MITRE ATT&CK — T1660 — Phishing (Mobile)
Cifras del T1 de 2026 (enero–marzo), publicadas el 30 de abril de 2026.
La pila de confianza
La confianza en un QR es un modelo de sistemas por capas, no un nuevo formato de QR ni una nueva primitiva criptográfica. Cuatro capas se componen en una sola decisión visible en el escáner:
- 01
Legitimidad del emisor
¿Es la parte que emitió este código QR un emisor homologado y responsable dentro de un programa de confianza gestionado?
- 02
Vinculación del destino
¿Está el destino ligado criptográficamente a ese emisor, de modo que el enlace no pueda sustituirse sin que se detecte?
- 03
Seguridad del destino en el momento del escaneo
¿Es seguro el destino al escanearlo —no al imprimirlo— según la política y los datos de amenazas vigentes?
- 04
Estado de decisión del escáner
¿Qué debería mostrar realmente el escáner al usuario, compuesto a partir de todo lo anterior más el estado de gobernanza?
El estado de confianza tiene que circular: un programa raíz de confianza delega en operadores y emisores; la política firmada y el estado fluyen hacia las cachés de los verificadores y hasta los escáneres, con límites de frescura y espacios de nombres de emisor acotados.
Lo que muestra el escáner
El sentido de la pila es un escáner capaz de decir algo más que "aquí tienes un enlace". Cinco estados visibles en el escáner cubren los casos habituales:
Sin verificar
Sin metadatos de confianza. El escáner muestra un destino simple, sin respaldo alguno.
Firmado, emisor no aceptado
Una firma válida de un emisor ajeno al programa de confianza. Válido no es lo mismo que fiable.
Emisor verificado
Emisor homologado, destino vinculado y aprobado en este momento. El escáner puede avalar el traspaso.
Verificado, destino de riesgo
Emisor legítimo, pero las comprobaciones en el momento del escaneo degradan el destino. Continúa con cautela, y que se note.
Bloqueado
La política o una revocación dicen que no. El escáner rechaza el traspaso y explica por qué.
Evalúalo tú mismo
La implementación de referencia es de código abierto: un verificador, un laboratorio de UX de escáner, evidencias de navegador, experimentos con un escáner nativo de iPhone y borradores de contratos de red de confianza, todo ejecutable en local sin ningún archivo privado. El corpus de 37 casos, los vectores de residuales esperados y el informe de evaluación generado por máquina están fijados en la etiqueta trust-residuals-v1.
escenarios del corpus de conformidad superados
comparaciones de tabla formal, cero discrepancias
latencia mediana del veredicto (1250 ns p95)
A qué renuncian los escáneres de señal única
En los 35 casos del corpus que exigen atención, cada línea base consulta exactamente un canal de evidencia. Rojo: afirma confianza positiva donde el resultado esperado lo prohíbe. Ámbar: exige estrictamente menos atención del usuario de la necesaria.
Repositorio de GitHub
github.com/unixtime/qr-trust-poc — Apache-2.0.
Documentación técnica
Modelo de confianza, matriz de decisión del escáner, vectores de prueba, grafos de despliegue.
La arquitectura de un vistazo
Las herramientas del emisor firman cargas útiles QR; un servicio verificador respaldado por una caché de verificador evalúa la legitimidad del emisor, la vinculación del destino y la política en el momento del escaneo, y resuelve cada escaneo en uno de seis estados de decisión acotados; y un laboratorio de UX de escáner representa los cinco que llegan al usuario, ya que una captura ilegible es una petición de repetir la captura, no una pantalla de confianza. Las evidencias capturadas en navegador y los experimentos con el escáner nativo de iPhone completan la prueba de concepto.
Ejecútalo en local
git clone https://github.com/unixtime/qr-trust-poc.git
cd qr-trust-poc
make up-adminArtículos
Artículo 1 — Publicado
QR Navigation Security Is Not Primarily a Cryptography Problem: A Trust-Model Framework for Managed Issuer Verification, Destination Binding, and Runtime Safety (preprint de SSRN, 2026) sostiene que unos estados de escáner útiles exigen una composición de confianza gestionada, y que el problema difícil que queda es de gobernanza: quién opera la capa de confianza y asume sus fallos.
Leer en SSRNArtículo 2 — Publicado
Trust Residuals for Navigation QR Codes: Decision Semantics for Issuer, Destination, and Runtime Safety State (preprint de SSRN, 2026) especifica la semántica de decisión que implementa el verificador: cómo el estado del emisor, del destino y de la seguridad en el momento del escaneo se componen en el único estado de escáner sobre el que el usuario actúa.
Leer en SSRNCita este trabajo
@misc{elmasri2026qrtrust,
author = {El-Masri, Hassan},
title = {QR Navigation Security Is Not Primarily a Cryptography Problem:
A Trust-Model Framework for Managed Issuer Verification,
Destination Binding, and Runtime Safety},
date = {2026-04-12},
doi = {10.2139/ssrn.6577478},
howpublished = {SSRN},
url = {https://papers.ssrn.com/sol3/papers.cfm?abstract_id=6577478}
}
@misc{elmasri2026residuals,
author = {El-Masri, Hassan},
title = {Trust Residuals for Navigation QR Codes: Decision Semantics
for Issuer, Destination, and Runtime Safety State},
date = {2026-08-03},
howpublished = {SSRN},
url = {https://papers.ssrn.com/sol3/papers.cfm?abstract_id=7225699}
}Refuta este trabajo
Los artículos plantean afirmaciones falsables. Si puedes romper el modelo —lagunas en el modelo de amenazas, semántica de decisión, argumentos de adopción—, abre un debate. Las refutaciones nos resultan más útiles que los elogios.
Abrir un debate