Si tienes Teams en el ordenador y recibes mensajes con códigos QR de vez en cuando, esto te interesa. Microsoft está desplegando una nueva capa de protección que analiza automáticamente cualquier QR que aparezca en tus chats o archivos adjuntos. Si el código apunta a una web maliciosa, Teams lo bloquea antes de que ni siquiera intentes escanearlo con el móvil.
La verdad es que el phishing por QR llevaba tiempo siendo un agujero evidente. Un correo con un enlace sospechoso ya genera alertas en casi cualquier sistema de seguridad. Un código QR, en cambio, pasaba desapercibido: nadie lo analizaba porque nadie «veía» la URL hasta que alguien lo escaneaba con el teléfono. Los atacantes lo sabían perfectamente y lo han estado aprovechando.
¿Qué hace exactamente Teams ahora?
Cuando recibes un mensaje en Teams que contiene un código QR —incrustado en una imagen, en un PDF o directamente en el chat—, la plataforma analiza el destino del enlace que ese QR codifica. Si la URL apunta a un sitio catalogado como phishing o malware, Teams muestra una advertencia y bloquea el acceso antes de que hagas nada.
No cambia cómo usas la herramienta. No hay ningún botón nuevo, ningún ajuste que activar. El análisis se produce en segundo plano, igual que ya ocurre con los enlaces de texto convencionales. Lo que sí es nuevo es que ahora el sistema también «lee» los QR, algo que hasta ahora simplemente no hacía.
¿Cuándo llega y a quién afecta?
Microsoft ha comunicado el despliegue a través del Message Center de Microsoft 365 (referencia MC1470410). La activación por defecto está prevista para mediados de octubre de 2026 y se aplica a todas las organizaciones con Teams, sin que los administradores tengan que tocar nada.
Aquí está el detalle que más nos ha llamado la atención: llega activado por defecto, sin configuración previa. Para una pyme o un autónomo que no tiene un departamento de informática detrás, eso marca la diferencia. No hay que saber qué es una directiva de seguridad ni abrir el Centro de administración de Microsoft 365. Simplemente llega y ya funciona.
¿Por qué importa esto ahora?
El phishing por QR ha crecido de forma notable en los últimos años. Se usa en correos electrónicos falsos que simulan ser de bancos, de la Agencia Tributaria o de plataformas de mensajería. También aparece en contextos más cotidianos: facturas falsas enviadas por Teams, invitaciones a reuniones con QR adjuntos, documentos de incorporación de nuevos empleados manipulados…
Teams se usa cada vez más como canal principal de comunicación, tanto interna como con proveedores y clientes externos. Eso lo convierte en un vector de ataque atractivo. Que Microsoft haya cerrado esta vía sin que el usuario tenga que hacer nada es, en nuestra opinión, exactamente cómo debería funcionar la seguridad en herramientas de negocio.
¿Qué puedes hacer mientras tanto?
Si estás en el canal de versión dirigida de Microsoft 365, es posible que ya tengas esta protección activa. El resto de organizaciones la recibirán a lo largo de octubre. Si eres administrador de Microsoft 365 y quieres revisar el estado del despliegue, búscala en el Message Center con la referencia MC1470410.
Lo que siempre recomendamos, con esta novedad o sin ella: desconfía de cualquier QR que llegue por un canal inesperado, aunque sea desde una cuenta conocida. Las cuentas comprometidas también envían QR. La herramienta ayuda, pero el sentido común sigue siendo la primera capa de defensa.