Estafa del código QR en Teams: qué cambia y cómo prepararse

Un contacto externo envía un mensaje en Teams: "Aquí está el código QR para confirmar su acceso". El celular ya está en la mano, la cámara se abre en un segundo y, cuando la persona se da cuenta, ya escribió su contraseña corporativa en una página falsa. La estafa del código QR, que ya era común por correo electrónico, llegó a las herramientas de trabajo. Y Microsoft Teams empezó a reaccionar.

Qué cambia en Teams

Los códigos QR de contactos externos llegan ocultos. Las imágenes con códigos QR enviadas por usuarios de fuera de su organización ahora aparecen ocultas de forma predeterminada en los chats. Para verlas o escanearlas, la persona debe revelar la imagen de manera consciente. Según Microsoft, la función se está implementando desde octubre de 2026 en Teams para escritorio, web, Mac, Android e iOS.

Detección de códigos QR maliciosos (prevista para noviembre de 2026). Teams analizará a dónde lleva el código QR y aplicará protección cuando el destino sea malicioso, extendiendo a los códigos QR la protección que ya existe para los enlaces.

Detección de phishing con IA en los primeros chats externos (prevista para noviembre de 2026). Microsoft también anunció una detección de phishing que usa el contexto de la conversación para identificar estafas e ingeniería social, principalmente cuando un contacto externo inicia el primer chat. Cuando haya algo sospechoso, el usuario puede ver una advertencia.

Por qué el código QR se volvió una herramienta de estafa

El código QR oculta su destino: nadie puede saber a dónde lleva solo con mirarlo. Además, suele escanearse con el celular personal, que muchas veces está fuera de las protecciones de la empresa. Es la combinación ideal para llevar a alguien a una página de inicio de sesión falsa.

El paso adicional de "revelar" la imagen parece pequeño, pero rompe justamente el impulso con el que cuenta el estafador: actuar rápido, sin pensar.

Qué puede hacer su empresa desde ya

• Oriente al equipo: un código QR que viene de afuera merece atención, incluso dentro de Teams. Ante la duda, confirme con quien lo envió por otro canal.

• Trate el código QR como un enlace: si la página pide contraseña, código de verificación o pago, desconfíe.

• Revise el acceso externo de Teams: defina qué dominios y organizaciones pueden conversar con su empresa y con qué permisos.

• Active la autenticación multifactor para todos: si una contraseña se filtra en una estafa, el segundo factor reduce mucho el riesgo de invasión de la cuenta.

• Proteja los celulares que acceden a datos de la empresa: los dispositivos administrados aplican políticas de seguridad también en el celular, donde se lee el código QR.

Fuentes

La información de este artículo proviene del Microsoft 365 Roadmap, elementos 570439 (protección de códigos QR en mensajes), 576198 (detección de códigos QR maliciosos) y 575288 (detección de phishing en Teams), consultados el 21 de octubre de 2026. Las fechas del Roadmap son previsiones y pueden cambiar.

¿Necesita ayuda?

WRA IT ayuda a las empresas a configurar Microsoft 365 de forma segura: acceso externo de Teams, autenticación multifactor, administración de dispositivos y capacitación de los equipos contra estafas. Hable con WRA IT.