Estafas con QR: cómo funcionan y qué tenés que mirar para no caer

El código QR se convirtió en el documento de identidad de la era digital. Lo usás para ver el menú de un restaurante, para pagar en un kiosco, para conectarte al Wi-Fi de un bar o para validar una entrada. Es rápido, cómodo y parece inofensivo. Pero esa misma confianza es la que los ciberdelincuentes están aprovechando para crear una nueva generación de estafas.

El "QRishing", una mezcla de QR y phishing, es una técnica cada vez más común en Argentina. Los estafadores manipulan estos códigos para robarte datos personales, credenciales bancarias o directamente tu dinero. La clave de su éxito es simple: a simple vista, un QR falso es idéntico a uno verdadero.

Pero no te alarmes. Entender cómo operan y qué tenés que mirar antes de escanear y, sobre todo, antes de confirmar un pago, es tu mejor defensa.

¿Cómo funcionan las estafas con QR?

Los ciberdelincuentes usan la ingeniería social para engañarte y que reveles información sensible. No hackean la tecnología del QR, sino que te engañan a vos para que realices una acción peligrosa. Estas son las modalidades más frecuentes:

• El sticker traicionero: Esta es la estafa más común en lugares físicos como comercios, restaurantes, cajeros automáticos o estaciones de servicio. El delincuente pega un sticker con un código QR falso encima del original. Cuando lo escaneás para pagar, el dinero se desvía a la cuenta del estafador en lugar de la del comercio.
• QRishing por mensaje o email: Recibís un mensaje de texto, un WhatsApp o un correo electrónico con un supuesto aviso urgente. Puede ser un falso paquete retenido en la aduana, una oferta increíble o una alerta de seguridad de tu banco. El mensaje te pide escanear un QR para solucionar el "problema", pero en realidad te dirige a una página falsa para robar tus datos.
• Descarga de malware: Algunos QR maliciosos están diseñados para que, al escanearlos, se inicie la descarga de una aplicación o archivo infectado. Este malware puede darle al estafador acceso remoto a tu celular, robando contraseñas, contactos e información bancaria.
• Redes Wi-Fi falsas: En lugares públicos como aeropuertos o cafeterías, podés encontrar un QR para conectarte "gratis" a la red Wi-Fi. Sin embargo, puede ser una red controlada por un atacante, que podrá ver todo lo que hacés online, incluyendo los datos que ingresás en páginas no seguras.

Lo que se puede y no se puede falsificar en un QR

Esto es fundamental que lo entiendas: el código QR en sí no es ni seguro ni inseguro. Es simplemente un contenedor de información, como un código de barras avanzado. Lo que se falsifica no es el código, sino la información de destino a la que te dirige.

• ¿Qué se puede falsificar? Cualquier persona puede generar un código QR gratis en segundos. Un estafador puede crear un QR que contenga un enlace a una página web que imite a la perfección la de tu banco, la de Mercado Pago o la de cualquier empresa conocida. También puede contener los datos de su propia cuenta (CVU/CBU) para recibir pagos que creés que estás haciendo a un comercio.
• ¿Qué no se puede falsificar? No se puede alterar un QR ya impreso. Es decir, un delincuente no puede "editar" el código que un comercio imprimió y pegó en su mostrador. Por eso recurren a la técnica de pegar un sticker encima.

La vulnerabilidad no está en el QR, sino en la facilidad con la que nos hemos acostumbrado a escanearlos sin verificar a dónde nos llevan.

El paso a paso para verificar un QR antes de pagar

La clave es la prevención. Tomarte cinco segundos para revisar antes de confirmar una transacción puede ahorrarte un gran dolor de cabeza.

1. Inspección física: el primer filtro

Antes de apuntar con la cámara, mirá el QR con atención. Especialmente en locales comerciales, parquímetros o cualquier cartel en la vía pública.

• ¿Es un sticker? Fijate si el código QR está pegado encima de otro. Pasá el dedo por los bordes. Si sentís un relieve o notás que es una calcomanía mal alineada, arrugada o de mala calidad, desconfiá.
• ¿El contexto tiene sentido? Un QR pegado con cinta en una pared sin ningún logo o explicación es altamente sospechoso. Los códigos legítimos suelen estar integrados en cartelería oficial del local o la empresa.

2. La vista previa de la URL: tu mejor aliada

La mayoría de los celulares, al escanear un QR, te muestran una vista previa del enlace antes de abrirlo. Este es el momento más importante. No lo ignores.

• Leé la dirección completa: ¿A dónde te quiere llevar? Si vas a pagar en "Tienda Super Ropa", la URL debería ser algo como mercadopago.com/pagar/tiendasuperropa o similar. Si ves una dirección extraña, con errores de tipeo, acortada (como bit.ly sin contexto) o que no tiene nada que ver con el comercio, no avances.
• Buscá el "https://": Asegurate de que la dirección web empiece con "https://" y muestre un candado. Esto indica que la conexión es segura, aunque no garantiza que el sitio sea legítimo.
• Desactivá la apertura automática: Si es posible, configurá tu celular para que no abra los enlaces de los QR automáticamente. Esto te obliga a pasar por el paso de la vista previa.

3. La pantalla de confirmación de pago: la última barrera

Ya escaneaste y abriste el enlace. Antes de poner la clave o confirmar el pago, revisá los datos en la pantalla de tu billetera virtual.

• Verificá el destinatario: La aplicación te tiene que mostrar claramente el nombre del comercio o de la persona que va a recibir el dinero. ¿Coincide con el nombre del local donde estás comprando? Si dice "Juan Pérez" y estás en una farmacia, algo anda mal. Preguntale al vendedor antes de confirmar.
• Revisá el monto: Asegurate de que el importe que figura en la pantalla sea el correcto.
• No te dejes apurar: Los estafadores suelen crear una falsa sensación de urgencia. Tomate tu tiempo para revisar todo con calma.

¿Qué hago si ya caí en una estafa con un QR falso?

Si te diste cuenta de que transferiste dinero a un desconocido o ingresaste tus datos en una página falsa, actuá rápido.

1. Contactá a tu billetera o banco: Informá inmediatamente sobre la transacción fraudulenta. Pedí que bloqueen la operación si es posible y seguí sus instrucciones.
2. Cambiá tus contraseñas: Si ingresaste claves de acceso, home banking o de tus redes sociales en una página falsa, cambialas de inmediato desde un dispositivo seguro.
3. Hacé la denuncia: Realizá la denuncia correspondiente. Podés hacerlo en la comisaría más cercana o en la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI). Guardá todas las pruebas que tengas: capturas de pantalla, mensajes, el nombre del destinatario de la transferencia, etc. Si fue en un comercio, avisales para que retiren el QR falso.

La comodidad del QR llegó para quedarse, y no tenés que dejar de usarlo. Simplemente, tenés que incorporar estos pequeños hábitos de verificación. Desconfiar primero y escanear después es la nueva regla de oro en los pagos digitales.

Este artículo tiene un propósito informativo y no constituye asesoramiento financiero. La información sobre productos y servicios de terceros es precisa a la fecha de publicación, pero puede cambiar. Para obtener datos actualizados sobre comisiones, tasas y condiciones, siempre verificá la información en la aplicación o sitio web oficial de cada entidad.