Cómo detectar un QR falso antes de que te vacíen la cuenta

Pagar con el celular apuntando la cámara a un cuadradito con manchas negras ya es una costumbre instalada en la Argentina. Pero esa comodidad también abrió una puerta a los delincuentes. La técnica se llama «quishing» y consiste en manipular un QR para llevar a la víctima hacia una página falsa que copia a la original y le saca contraseñas, datos de tarjeta o directamente el dinero de una transferencia.

El fenómeno crece al ritmo del uso del celular para pagar. En el primer trimestre de 2026 hubo en el país un promedio de 51,1 millones de accesos a Internet, un 3,8% más que un año atrás. Los pagos con QR, por su parte, aumentaron 83% durante 2025 y ya superan las 714 millones de operaciones anuales.

El envión sigue en 2026. Según el Banco Central, en enero se hicieron 92,1 millones de pagos con transferencias interoperables iniciadas con QR, por un total de $2,1 billones. La cantidad de operaciones subió 53% respecto de un año antes y los montos, medidos en términos reales, treparon 57,3%.

Esa velocidad explica por qué comercios, servicios y medios de transporte lo adoptaron sin resistencia. Y esa misma rapidez es la que aprovechan los estafadores, apostando al apuro y a la distracción de quien paga.

El BA-CSIRT, el equipo porteño de respuesta ante incidentes informáticos, señala que el riesgo mayor no pasa por escanear el código sino por lo que la persona hace después, como cargar datos sensibles, bajar un archivo o aceptar un permiso.

Qué es el quishing y por qué un QR puede esconder una trampa

El término combina QR con phishing. El código no es más que un contenedor de información: puede abrir una web, mostrar un contacto, iniciar un mensaje o conectar a una red wifi.

La dificultad pasa por lo visual. A diferencia de un link escrito, nadie puede leer el destino de un QR antes de escanearlo. Recién cuando la cámara interpreta la imagen aparece la dirección a la que apunta.

Un código legítimo y uno adulterado pueden verse exactamente iguales. Por eso conviene mirar el soporte físico, activar la vista previa del enlace y revisar el dominio antes de tocar cualquier botón.

Escanear un QR falso, por sí solo, casi nunca alcanza para que un delincuente tome control del teléfono móvil. La mayoría de las maniobras necesita un paso extra de la víctima: escribir una contraseña, cargar una tarjeta, autorizar una transferencia o instalar una aplicación. Por eso el quishing es, sobre todo, una estafa de ingeniería social que depende de que la persona actúe sin chequear antes.

Cuáles son las estafas con QR más comunes en la Argentina

En el primer semestre de 2026 el Ministerio Público Fiscal porteño recibió casi 1.300 denuncias por fraudes informáticos, un promedio de más de 200 por mes. Entre las modalidades más repetidas aparecen el robo de cuentas de mensajería, el ingreso a billeteras virtuales y el robo de datos de tarjetas. Estos son los cuatro esquemas que más se ven en la calle.

Un «sticker» pegado sobre el código original. El estafador pega su propio QR encima del que pertenece al comercio, en mesas, cartas, mostradores, parquímetros o carteles de cobro. El enlace lleva a una copia del menú o de la pasarela de pago, y si la persona transfiere sin fijarse a quién, la plata termina en una cuenta ajena.
El secuestro de sesión conocido como QRLjacking. El delincuente convence a la víctima de escanear un código desde la función para vincular dispositivos de una app de mensajería, disfrazándolo de validación, sorteo o beneficio. Si la vinculación se completa, queda con una sesión activa y puede escribirles a los contactos pidiendo transferencias urgentes en nombre de la víctima.
Multas, deudas o facturas apócrifas. Llega como un aviso impreso, un supuesto corte de servicio o un acta pegada en el parabrisas, con logos oficiales y la exigencia de pagar ya mismo con un QR. El descuento por pago inmediato busca apurar la decisión, y el código dirige a un sitio clonado que roba los datos de la tarjeta o desvía la transferencia.
Paquetes que nadie pidió, con QR incluido. En la modalidad llamada «brushing», la persona recibe un objeto barato que nunca compró, con un código para consultar quién lo mandó o gestionar una devolución. Ese enlace puede llevar a un formulario de suplantación o pedir que se instale una app fuera de las tiendas oficiales.

Qué señales muestran que un QR fue manipulado

Como la imagen del código no dice nada sobre su origen, la prevención empieza por el contexto. Un soporte con marcas raras, un pedido que no esperabas o una dirección web extraña alcanzan para frenar el pago.

Tiene una calcomanía pegada encima, con relieve o bordes despegados que tapan otra impresión.
La página pide datos que no debería necesitar, como usuario, contraseña o número de tarjeta para ver un menú.
Ofrece premios o devoluciones de dinero inesperadas a cambio de completar un formulario externo.
Arranca una descarga de un archivo APK o de un programa que no reconocés.
El dominio tiene errores de tipeo, letras repetidas, guiones extra o un nombre parecido al de una entidad conocida.
El destinatario que muestra la aplicación no coincide con el comercio donde estás pagando.

Por qué conviene no escribir contraseñas después de escanear un QR

Las páginas falsas pueden copiar tipografías, colores y logos de bancos y billeteras con una precisión que engaña incluso a usuarios atentos. Esa apariencia busca que la víctima tipee sus credenciales sin notar que el dominio no le pertenece a la entidad real.

Algunas campañas usan ataques de intermediario, conocidos como «adversary-in-the-middle»: un servidor controlado por el delincuente se ubica entre la víctima y el servicio real para interceptar lo que se escribe.

Si además la persona entrega el código de verificación, el atacante puede iniciar sesión y operar la cuenta antes de que nadie reaccione. Por eso la autenticación en dos pasos ayuda, pero no sirve de nada si el código se entrega en un sitio falso.

Los datos que se roban de esta forma también sirven para armar llamados y mensajes dirigidos: con el nombre, el documento y el banco de la víctima, el engaño siguiente resulta mucho más creíble. El FBI advirtió, en ese sentido, que el quishing permite insertar direcciones maliciosas dentro de un código QR para derivar a las víctimas hacia contenido de phishing y facilitar el robo de información.

Cómo pagar con QR sin exponer la cuenta bancaria

Revisa el soporte físico en busca de calcomanías, relieves o señales de que un código fue pegado sobre otro.
Activa la vista previa del enlace para que la cámara no abra ninguna dirección en forma automática.
Comprueba el dominio. El candado y el HTTPS no garantizan nada por sí solos: fíjate que el nombre corresponda a la entidad y no tenga errores.
Confirma el destinatario que muestra la aplicación antes de autorizar cualquier transferencia.
No compartas códigos de verificación. Ningún banco ni billetera los pide por mensaje, llamada o formulario externo.
No instales aplicaciones desde un QR desconocido. Usá siempre las tiendas oficiales.
Activa la autenticación en dos pasos, preferentemente con una app dedicada.
Mantén actualizados el teléfono móvil y las aplicaciones para reducir fallas conocidas.

Qué hacer si encuentras un sticker pegado sobre un QR

No lo escanees. Avísale al dueño o al encargado del comercio, restaurante, estacionamiento o servicio, y pídele que confirme cuál es el código correcto. Si nadie puede verificarlo en el momento, elegí otro medio de pago: una demora de minutos es preferible a mandar plata a una cuenta que no conoces.

En la Ciudad de Buenos Aires, una posible adulteración también puede reportarse ante el Centro de Ciberseguridad porteño por sus canales oficiales.

Si ya escribiste una clave, cargaste datos de tarjeta o autorizaste una transferencia, actúa sin demora:

Contacta al banco o a la billetera para bloquear accesos, tarjetas y dispositivos vinculados.
Cambia las contraseñas desde otro equipo y cierra todas las sesiones abiertas.
Revis movimientos, préstamos y débitos que no reconozcas.
Guarda capturas de pantalla, enlaces, comprobantes, alias, CBU o CVU y cualquier conversación relacionada.
Haz la denuncia penal lo antes posible.

Dónde denunciar una estafa con QR y qué pruebas conservar

La velocidad importa porque el dinero puede pasar por varias cuentas en pocos minutos. La denuncia penal no reemplaza el reclamo ante el banco o la billetera, así que conviene hacer los dos trámites al mismo tiempo.

El Banco Central no ofrece cuentas ni créditos al público y nunca pide contraseñas ni códigos de verificación. Cualquier contacto que use su nombre para solicitar esos datos debe tratarse como sospechoso.

En Buenos Aires existe un protocolo de actuación rápida que permite emitir alertas y pedir el congelamiento de cuentas sospechosas por 60 días. Según el Ministerio Público Fiscal porteño, este mecanismo permitió recuperar y revertir operaciones por más de $322 millones.

Para activarlo, la denuncia tiene que presentarse dentro de las primeras 24 horas, el monto robado debe ser igual o mayor a $3 millones, y la víctima o la cuenta de origen deben estar radicadas en la Ciudad.

Los canales principales para denunciar son:

Unidad Fiscal Especializada en Ciberdelincuencia: Sarmiento 663, 6° piso, CABA. Teléfono (+54 11) 5071-0040. Correo [email protected].
Ministerio Público Fiscal de la Ciudad: línea gratuita 0800-33-FISCAL (347225), disponible las 24 horas, con opción de denuncia en línea o presencial.
La comisaría o fiscalía más cercana, que debe recibir la denuncia y orientar sobre cómo preservar la prueba.

No borres mensajes, correos ni archivos vinculados al fraude. GuardA capturas de pantalla, la dirección web que abrió el QR, los comprobantes de transferencia, los datos de la cuenta receptora y el detalle de cualquier llamado recibido. En paralelo, pídele al banco o a la billetera que bloquee las credenciales comprometidas, desvincule los dispositivos y te dé un número de gestión del reclamo.

Cómo reclamar ante el Banco Central por una estafa digital

El BCRA centraliza estos reclamos a través de su área de Protección al Usuario Financiero, con tres formularios distintos según el caso:

Canal por fraude o estafa, pensado para denunciar delitos informáticos, vaciamiento de cuentas, transferencias no autorizadas o clonación de tarjetas.
Canal por problemas comerciales, para reclamos administrativos como el cobro indebido de comisiones, fallas en cajeros automáticos o trabas para dar de baja un producto financiero.
Canal de quejas y sugerencias, habilitado para disconformidades con la atención de una entidad o para proponer cambios normativos.

Para que el Banco Central tome intervención es obligatorio haber hecho antes el reclamo ante el propio banco o la billetera, contar con el número de incidente y haber esperado 10 días hábiles sin respuesta o con una resolución insatisfactoria.

Por la urgencia que exige este tipo de fraude, los organismos recomiendan presentar el reclamo administrativo al mismo tiempo que la denuncia penal, sin esperar los plazos del BCRA para actuar en la Justicia.

La pausa que evita perder plata con un QR

El paso que más protege es simple: antes de confirmar cualquier pago, comprobar que el código no fue alterado, que el dominio es el correcto y que el destinatario coincide con el comercio.

Si la página pide contraseñas, códigos de verificación, datos completos de la tarjeta o una descarga, hay que salir de ahí. Y si el pago ya se hizo, bloquear las cuentas, guardar toda la prueba disponible y denunciar de inmediato son las acciones que pueden limitar el daño.

Nota de R.: Este artículo acerca de estafas con códigos QR fue publicado originalmente en iProfesional.

Si te gustó o sirvió algo que publiqué, te ofrezco dos alternativas para agradecer y permitir la continuidad de mi trabajo en Bahía César: