¿Cómo comprobar que un archivo o un código QR es seguro antes de abrirlo?

Cualquier empleado de tu empresa puede ahora analizar un archivo o un código QR antes de abrirlo, con el servicio Tahqaq de la Autoridad Nacional de Ciberseguridad (NCA) de Arabia Saudí. El servicio empezó el 29 de diciembre de 2025 solo con el análisis de enlaces, y en octubre de 2026 la NCA añadió el análisis de archivos y de códigos QR. Los enlaces y los códigos QR se envían al número de WhatsApp +966118136644, los archivos se suben al portal Haseen, y el resultado es inmediato, a cualquier hora del día. Lo que necesitas es una regla para tu equipo: nadie abre un adjunto que no esperaba, ni escanea un código desconocido, sin comprobarlo antes. Pero recuerda que el resultado es una estimación del riesgo, no una garantía, y que el análisis de archivos sigue en fase de prueba.

¿Qué ha cambiado en el servicio?

La NCA lanzó el servicio el 29 de diciembre de 2025, según la Agencia de Prensa Saudí, para analizar los enlaces que circulan antes de que la gente los visite. El 7 de octubre de 2026, coincidiendo con el Mes Mundial de Concienciación sobre Ciberseguridad, la NCA anunció en su comunicado oficial dos nuevas funciones: el análisis de archivos y el de los códigos de respuesta rápida, conocidos como códigos QR. El servicio forma parte de Haseen, el Portal Nacional de Servicios de Ciberseguridad, y la NCA lo gestiona en colaboración con su brazo técnico, la Compañía Saudí de Tecnologías de la Información (SITE).

El detalle que muchos pasan por alto en la página oficial del servicio es que los dos canales no analizan lo mismo:

CanalQué analizaCómo acceder
WhatsAppEnlaces y códigos QR+966118136644
Portal HaseenEnlaces, archivos y códigos QRtahqaq.haseen.gov.sa

Dicho de otro modo, según la página de la NCA, el análisis de archivos solo está disponible en el portal Haseen. La página del servicio Tahqaq for Files indica que la comprobación la realiza de forma automática el motor del servicio, que los resultados son inmediatos y que el servicio funciona las 24 horas del día, los 7 días de la semana, en árabe y en inglés, sin necesidad de documentos. La misma página califica el servicio de archivos como "beta".

¿Por qué es importante para tu empresa?

Una brecha de seguridad en una empresa puede empezar con el clic de un solo empleado y no con un ataque sofisticado. Una factura en PDF de un proveedor que no conoces, un currículum que llega a Recursos Humanos como archivo comprimido, un aviso de envío que te pide abrir un adjunto, o una pegatina con un código QR que alguien colocó encima de la pegatina de pago original en tu sucursal. La NCA afirma en su anuncio que las nuevas funciones responden al uso creciente de archivos y códigos QR en las actividades cotidianas.

Un código QR es más peligroso que un enlace corriente en un aspecto: un enlace escrito se puede leer, y quizá notes que el nombre del sitio parece incorrecto, pero con un código no sabes adónde lleva hasta que lo escaneas. Comprobarlo antes de abrir su destino cierra una brecha que el ojo no puede cerrar.

Cómo lo usa tu equipo: cinco pasos

  • Guarda el número correcto: copia el número de WhatsApp +966118136644 de la propia página de la NCA y guárdalo en los teléfonos de los empleados con un nombre claro. No te fíes de un número que llegue en un mensaje, porque los estafadores se hacen pasar por servicios gubernamentales.
  • Los enlaces y los códigos van primero a WhatsApp: antes de pulsar un enlace en un mensaje, o de escanear un código en una pegatina, una factura o una publicación, el empleado lo envía al número del servicio y espera el resultado.
  • Los archivos van al portal Haseen: un adjunto que el empleado no esperaba, sobre todo archivos comprimidos, archivos ejecutables y documentos que piden "habilitar contenido", se sube al portal antes de abrirlo.
  • Lee el resultado como una estimación, no como un veredicto: la NCA indica que el análisis de archivos evalúa la "probabilidad" de una amenaza. Si el resultado es sospechoso, el empleado elimina el archivo y avisa al responsable. Si sale limpio pero el propio mensaje resulta extraño, como una solicitud de pago urgente o una petición de contraseña, debe llamar al remitente a un número que ya conozca antes de hacer nada.
  • Comparte tu opinión: el servicio permite valorar el resultado del análisis, así que informa de un resultado que creas erróneo y registra el caso internamente para que el resto del equipo sepa lo que os ha llegado.

Los límites del servicio: lo que no cubre

El servicio es útil, pero no es un sistema de protección para tu empresa. La NCA lo incluye entre los servicios individuales, dirigidos a ciudadanos y residentes del Reino. Ten en cuenta tres puntos:

  • No sustituye a la protección básica: el software de seguridad en cada dispositivo, las actualizaciones del sistema, el filtrado del correo electrónico, las copias de seguridad y la verificación en dos pasos siguen siendo necesarios. Encontrarás estos aspectos básicos en nuestra guía de ciberseguridad para pequeñas y medianas empresas.
  • Analiza lo sospechoso, no tus propios documentos: el servicio sirve para comprobar un archivo extraño que has recibido, no para subir tus contratos, tus nóminas o los datos de tus clientes. No subas sin necesidad un archivo con datos sensibles a ninguna herramienta de análisis externa.
  • Las entidades tienen otro servicio: entre sus servicios para entidades, la NCA ofrece uno llamado Files Examination Services, que examina el archivo en un entorno aislado que incluye Windows 7 y Windows 10, y emite un informe técnico completo en menos de 5 minutos, con la confidencialidad del archivo y del informe garantizada. Comprueba en el portal Haseen si tu organización cumple los requisitos.

Si tu sitio web o tu aplicación recibe archivos de clientes

El servicio protege al empleado que abre un archivo a mano. Pero si tu sitio web, tu aplicación o tu sistema de selección de personal recibe archivos de clientes y candidatos, como currículums, fotos de documentos de identidad, facturas y adjuntos de reclamaciones, nadie va a revisar cientos de archivos manualmente. Aquí el análisis tiene que formar parte del propio sistema: una lista definida de tipos de archivo permitidos, un tamaño máximo, un análisis automático antes de guardar, y un almacenamiento de los archivos subidos separado del servidor principal de la aplicación.

Esto es lo que revisamos en Origami cuando creamos un sistema nuevo o desarrollamos uno existente. Si quieres que revisemos cómo recibe archivos tu sistema hoy, ponte en contacto con nosotros.

Fuentes