Los hackers cambiaron de estrategia en Perú: archivos PDF y códigos QR fraudulentos podrían vaciar tus cuentas en segundos

Surgen avances clave en el escenario mundial. El avance de la ciberdelincuencia en el Perú ya no solo depende de sofisticados programas maliciosos o vulnerabilidades técnicas. Ahora, los delincuentes digitales centran sus esfuerzos en manipular a las personas para que sean ellas mismas quienes permitan el ingreso del malware a sus dispositivos. Este cambio de estrategia ha provocado un incremento sostenido de las amenazas informáticas y ha encendido las alertas entre especialistas en ciberseguridad.

Un reciente informe de la firma ESET revela que entre enero y mayo de 2026 se registraron 353. 530 detecciones de ciberataques en el país, con marzo y abril como los meses de mayor actividad, superando las 83 mil detecciones mensuales. Los resultados fueron presentados durante el evento Security Days 2026, donde expertos advirtieron que las campañas de phishing, QRishing y documentos falsificados se han convertido en las principales herramientas utilizadas para engañar a usuarios, empresas e instituciones.

Los detalles

Ingeniería social y QRishing: las estrategias que dominan los ciberataques en PerúEl estudio de ESET muestra que la ingeniería social se ha consolidado como la principal técnica empleada por los ciberdelincuentes. De hecho, más del 45% de las detecciones registradas en Perú dependen directamente de que el usuario realice alguna acción, como abrir un archivo, escanear un código QR o completar un supuesto proceso de verificación. Según explicó Mario Micucci, investigador de Seguridad de ESET Latinoamérica, la forma de atacar ha cambiado significativamente en los últimos años.

En lugar de ejecutar automáticamente un software malicioso, los delincuentes buscan que sea la propia víctima quien inicie la infección al interactuar con archivos aparentemente legítimos, como documentos PDF, facturas electrónicas, boletas de pago o falsos CAPTCHA. “Las tácticas de ciberataque han cambiado. En lugar de ejecutar procesos automáticos, los atacantes ahora emplean una estrategia de delegación de tareas, donde el propio usuario, al interactuar con archivos aparentemente inofensivos como PDFs o captchas falsos, activa la descarga del software malicioso”, explicó Micucci durante la presentación del informe.

El especialista precisó que el éxito de estos ataques radica en generar confianza o sensación de urgencia. Por ello, es frecuente que los mensajes simulen provenir de bancos, empresas de servicios, comercios o entidades públicas, utilizando asuntos relacionados con pagos pendientes, avisos legales, comprobantes electrónicos o actualizaciones de cuentas. Una modalidad que continúa ganando terreno es el QRishing, una variante del phishing que utiliza códigos QR para redirigir a las víctimas hacia páginas fraudulentas o descargar programas maliciosos.

Qué dicen los expertos

Al escanear el código desde un teléfono móvil, muchas herramientas tradicionales de seguridad tienen mayores dificultades para detectar el engaño. El informe también identifica un crecimiento de campañas que combinan códigos QR, scripts maliciosos y programas descargadores, conocidos como TrojanDownloader, capaces de instalar otras amenazas sin que el usuario advierta lo que ocurre. Cómo funcionan estos ataques y cuáles son los riesgos para ciudadanos, empresas y el EstadoEl análisis de ESET describe un patrón común en la mayoría de los ciberataques detectados durante este año.

Todo comienza con un mensaje diseñado para captar la atención de la víctima, ya sea mediante un correo electrónico, un enlace enviado por mensajería instantánea o un código QR. Una vez que la persona interactúa con el contenido, se ejecutan scripts o archivos maliciosos que permiten a los atacantes tomar el control parcial del dispositivo o instalar nuevos programas destinados al robo de información. El objetivo final suele ser acceder a datos sensibles, como contraseñas, credenciales de acceso, información bancaria o sesiones activas de navegación, facilitando posteriormente el fraude económico o la suplantación de identidad.

Entre las principales consecuencias para los ciudadanos figuran las estafas digitales, el robo de cuentas personales, la pérdida de acceso a servicios financieros y la utilización de información privada para cometer nuevos delitos informáticos. En el caso de las empresas, el estudio advierte sobre el incremento de incidentes relacionados con el compromiso del correo corporativo, la pérdida de accesos a plataformas en la nube, el fraude de tipo BEC (Business Email Compromise), ataques de ransomware y filtraciones de información confidencial. Las entidades públicas tampoco están exentas del problema.

El desarrollo ha despertado una amplia atención internacional, con los círculos diplomáticos siguiéndolo de cerca.