Los códigos QR se convirtieron en una de las formas más rápidas y cómodas de pagar en la Argentina.
Los encontramos en comercios, restaurantes, estacionamientos, facturas, medios de transporte y hasta en supuestas multas o avisos de deuda.
Pero esa comodidad también abrió una nueva puerta para los delincuentes.
La modalidad se conoce como quishing, una combinación entre QR y phishing. El estafador utiliza un código manipulado para dirigirnos a una página falsa, robar información personal, capturar credenciales bancarias o desviar un pago hacia otra cuenta.
El problema es que un QR falso puede verse exactamente igual que uno legítimo. La diferencia no está en la imagen, sino en el destino oculto al que nos conduce.
Por eso, antes de escanear y especialmente antes de pagar, debemos aprender a detenernos durante algunos segundos.
Los pagos con QR siguen creciendo en la Argentina
En el primer trimestre de 2026, la Argentina registró un promedio de 51.176.541 accesos a Internet, un 3,8% más que durante el mismo período del año anterior, según el INDEC.
Al mismo tiempo, los pagos con QR se incorporaron definitivamente a nuestra vida cotidiana.
Durante 2025 se realizaron más de 714 millones de operaciones y el uso de esta modalidad aumentó un 83%, de acuerdo con el Indicador COELSA.
La tendencia continuó en 2026. Solamente en enero se efectuaron 92,1 millones de pagos con transferencia iniciados mediante QR, por un total de $2,1 billones. La cantidad de operaciones aumentó un 53% interanual y los montos crecieron un 57,3% en términos reales, según el informe de pagos minoristas del Banco Central.
La velocidad explica gran parte de su éxito: abrimos una aplicación, escaneamos, confirmamos y pagamos.
Pero esa misma rapidez puede convertirse en nuestra principal debilidad cuando actuamos con apuro y sin comprobar a quién le estamos enviando el dinero.
Qué es el quishing
El quishing es una modalidad de phishing realizada mediante un código QR.
El código puede abrir:
- Una dirección web.
- Un formulario.
- Una conversación.
- Una red inalámbrica.
- Una aplicación.
- Una pantalla para vincular dispositivos.
- Una orden de pago o transferencia.
A diferencia de un enlace escrito, no podemos conocer su destino simplemente mirando la imagen. Primero necesitamos que la cámara o una aplicación interpreten el código.
Un QR legítimo y otro malicioso pueden resultar visualmente idénticos.
Por eso, la seguridad depende de tres verificaciones:
- El lugar físico donde encontramos el código.
- La dirección que aparece antes de abrirlo.
- El destinatario que muestra la aplicación antes de pagar.
El Gobierno nacional también advierte que los delincuentes pueden dirigir a las personas hacia sitios falsos, superponer códigos adhesivos y utilizar QR para secuestrar sesiones de aplicaciones. Recomendaciones oficiales sobre códigos QR.
¿Escanear un QR puede vaciar automáticamente la cuenta?
En la mayoría de los casos, no.
Escanear un código malicioso puede llevarnos hacia un sitio peligroso, pero el fraude normalmente necesita una acción adicional.
Por ejemplo:
- Ingresar el usuario y la contraseña del banco.
- Escribir los datos completos de una tarjeta.
- Compartir un código de verificación.
- Confirmar una transferencia.
- Vincular un dispositivo a WhatsApp o Telegram.
- Descargar e instalar una aplicación.
- Conceder permisos de accesibilidad o control del teléfono.
Esto no significa que podamos escanear cualquier código sin preocuparnos. Pueden existir fallas de seguridad o enlaces que intenten iniciar descargas.
La regla más segura es simple: si no sabemos quién colocó el código o por qué nos están pidiendo escanearlo, no debemos hacerlo.
Las estafas con QR más frecuentes
Stickers colocados sobre el código original
El delincuente imprime su propio QR y lo pega encima del verdadero.
Puede aparecer en la mesa de un restaurante, una carta, un mostrador, un parquímetro, una terminal de autoservicio o un cartel de cobro.
Cuando la víctima escanea el código, puede ser dirigida a una copia de la página original o a una transferencia destinada a otra cuenta.
Si no revisa el nombre del destinatario, el dinero termina en poder del estafador.
Supuestas multas, deudas o facturas
La víctima encuentra un aviso en el parabrisas o recibe una supuesta factura que exige el pago inmediato de una infracción o deuda.
El documento puede utilizar logos oficiales, números de expediente inventados y una promoción por pagar rápidamente.
El QR dirige a un sitio clonado para capturar datos de una tarjeta o cobrar un importe inexistente.
La urgencia y el descuento son parte del engaño.
Secuestro de cuentas mediante QRLjacking
El delincuente convence a la persona de escanear un código desde la función utilizada para vincular dispositivos de una aplicación de mensajería.
Puede presentarlo como:
- Una verificación de identidad.
- El ingreso a un sorteo.
- La activación de un beneficio.
- Una supuesta actualización.
- La confirmación de una cuenta.
Si la víctima aprueba la vinculación, el atacante puede obtener acceso a una sesión y enviar mensajes a sus contactos solicitando dinero.
Paquetes que nunca solicitamos
En la modalidad conocida como brushing, la persona recibe un objeto barato que nunca compró.
Dentro del paquete encuentra un QR que supuestamente permite conocer quién realizó el envío, confirmar la recepción o solicitar una devolución.
El enlace puede abrir un formulario falso, pedir información personal o intentar que la víctima instale una aplicación fuera de las tiendas oficiales.
Menús y promociones falsas
Un código colocado en un restaurante puede abrir una copia del menú verdadero y después solicitar un registro innecesario.
También puede prometer un descuento o reintegro si ingresamos nuestros datos bancarios.
Un menú no necesita nuestra contraseña, un código de verificación ni los datos completos de una tarjeta.
Seis señales para detectar un QR sospechoso
1. Tiene una calcomanía superpuesta
Pasá suavemente el dedo por los bordes sin despegarlo.
Si observás relieve, esquinas levantadas, diferencias de color o un código pegado encima de otro, no lo escanees.
Avisá inmediatamente al responsable del establecimiento.
2. Aparece en una comunicación inesperada
Desconfiá de códigos incluidos en paquetes no solicitados, multas dudosas, avisos de deuda, promociones demasiado buenas o mensajes que generan urgencia.
Antes de pagar, ingresá por tu cuenta al sitio o la aplicación oficial.
3. El dominio tiene errores
Antes de abrir el enlace, revisá la vista previa.
Prestá atención a:
- Letras repetidas.
- Caracteres reemplazados.
- Guiones innecesarios.
- Terminaciones extrañas.
- Subdominios engañosos.
- Nombres parecidos al de una empresa conocida.
Que una página tenga HTTPS y muestre un candado no significa que sea legítima. Los sitios fraudulentos también pueden utilizar certificados de seguridad.
4. Solicita datos que no necesita
Cerrá la página si un QR de menú, estacionamiento o información general solicita:
- Usuario bancario.
- Contraseña.
- Token.
- Código recibido por SMS.
- PIN.
- Datos completos de la tarjeta.
- Foto del documento.
- Clave de la billetera.
5. Intenta descargar una aplicación
Un QR de pago no debería pedirnos que instalemos un archivo APK ni un programa desconocido.
Las aplicaciones bancarias y billeteras deben descargarse únicamente desde las tiendas oficiales y comprobando quién es el desarrollador.
6. El destinatario no coincide
Esta es la comprobación más importante antes de transferir.
La billetera o aplicación bancaria debe mostrar el nombre de la persona o razón social que recibirá el dinero.
Si estamos en un comercio llamado “El Buen Café” y aparece una persona desconocida o una empresa sin relación aparente, no debemos confirmar.
Preguntá al responsable y elegí otro medio de pago.
Cómo pagar mediante QR de forma más segura
Revisá el soporte físico
Comprobá que el código no tenga stickers, relieves, roturas o signos de manipulación.
Escaneá desde la billetera
Cuando se trate de un pago, utilizá preferentemente el lector incorporado en la aplicación bancaria o billetera que ya conocés.
Un QR informativo puede abrirse con la cámara, pero no debería pedir credenciales financieras.
Mirá la vista previa
No abras automáticamente cualquier dirección. Leé el dominio y comprobá que pertenezca realmente a la entidad.
Verificá el importe y el destinatario
Antes de confirmar, revisá:
- Nombre del receptor.
- Razón social.
- Importe.
- Concepto.
- Cuenta desde la que se debitará el dinero.
No entregues códigos de verificación
El Banco Central recomienda no compartir códigos recibidos por correo electrónico, SMS, WhatsApp o cualquier otra vía. Tampoco debemos entregar usuarios o contraseñas a supuestas mesas de ayuda. Consejos del BCRA para prevenir estafas.
Activá la autenticación en dos pasos
Siempre que sea posible, utilizá una aplicación de autenticación, biometría o las herramientas de seguridad ofrecidas por tu entidad.
Sin embargo, recordá que el doble factor no alcanza si nosotros mismos escribimos el código en una página falsa.
Mantené actualizado el teléfono
Instalá las actualizaciones del sistema operativo y de las aplicaciones desde sus canales oficiales.
También conviene revisar periódicamente los dispositivos vinculados a nuestras cuentas y cerrar aquellos que no reconozcamos.
Qué hacer si encontrás un sticker sobre un QR
No lo escanees ni intentes despegarlo.
Avisá al responsable del comercio, restaurante, estacionamiento o servicio y pedile que verifique cuál es el código auténtico.
Si nadie puede confirmarlo, utilizá otro medio de pago.
En la Ciudad de Buenos Aires, las comunicaciones sospechosas también pueden reportarse al Centro de Ciberseguridad mediante el correo ciberseguridad@ba-csirt.gob.ar.
Una demora de algunos minutos siempre será preferible a enviar dinero hacia una cuenta desconocida.
Qué hacer si ya ingresaste datos o pagaste
Si escaneaste el código pero no ingresaste datos, no descargaste nada y no autorizaste una operación, cerrá la página y revisá que no se haya instalado ningún archivo o aplicación.
Si escribiste credenciales, compartiste un código o realizaste una transferencia, actuá inmediatamente:
- Contactá al banco o la billetera mediante un canal oficial.
- Pedí el bloqueo de accesos, tarjetas y dispositivos vinculados.
- Solicitá y guardá el número de reclamo.
- Cambiá las contraseñas desde un equipo confiable.
- Cerrá todas las sesiones abiertas.
- Revisá movimientos, préstamos y débitos desconocidos.
- Conservá capturas, enlaces, comprobantes, CBU, CVU, alias y conversaciones.
- Realizá la denuncia penal cuanto antes.
El reclamo bancario y la denuncia penal son trámites diferentes. Conviene iniciar ambos en paralelo.
El protocolo rápido para ciberfraudes en CABA
Durante el primer semestre de 2026, el Ministerio Público Fiscal de la Ciudad recibió casi 1.300 denuncias por ciberfraudes, más de 200 por mes.
El organismo implementó un protocolo que permite emitir alertas tempranas y solicitar el congelamiento preventivo de cuentas sospechosas durante 60 días. Según la Fiscalía porteña, ya permitió recuperar o revertir operaciones por más de $322 millones.
Para activar este mecanismo deben cumplirse simultáneamente tres condiciones:
- La denuncia debe realizarse dentro de las primeras 24 horas.
- El perjuicio debe ser igual o superior a $3 millones.
- La persona afectada o la cuenta de origen deben estar radicadas en la Ciudad de Buenos Aires.
No alcanza simplemente con presentar la denuncia en CABA si la víctima y la cuenta de origen pertenecen a otra jurisdicción.
Las condiciones y los canales oficiales pueden consultarse en el Ministerio Público Fiscal de la Ciudad.
Dónde denunciar
Ministerio Público Fiscal de la Ciudad de Buenos Aires
- Teléfono: 0800-33-FISCAL (347225).
- Sitio: denuncias en línea las 24 horas.
- Correo:
denuncias@fiscalias.gob.ar. - Atención presencial: Puntos de Acceso del MPF CABA.
Unidad Fiscal Especializada en Ciberdelincuencia
- Dirección: Sarmiento 663, 6.º piso, CABA.
- Teléfono: (+54 11) 5071-0040.
- Correo para denuncias:
denunciasufeci@mpf.gov.ar.
Los datos oficiales de la unidad están disponibles en el sitio de la UFECI.
También podés denunciar en la fiscalía o comisaría correspondiente a tu domicilio. No borres mensajes, correos electrónicos ni archivos vinculados con el fraude.
Mi opinión: el peligro no está solamente en el QR
Los códigos QR no son peligrosos por naturaleza. Son una herramienta útil que nos permite pagar y acceder a información en pocos segundos.
El verdadero problema aparece cuando la rapidez reemplaza a la verificación.
Los estafadores no necesitan vulnerar un sistema bancario extremadamente protegido si logran que nosotros mismos les entreguemos una contraseña, vinculemos un dispositivo o confirmemos una transferencia.
Por eso, la mejor barrera de seguridad no es una aplicación sofisticada. Es incorporar una pausa antes de actuar.
Revisar el código, comprobar el dominio y mirar el destinatario puede llevarnos diez segundos.
Esos diez segundos pueden evitar que una operación cómoda se transforme en una pesadilla.
0 comentarios