Los pagos con código QR son seguros si compruebas dos cosas antes de confirmar: el nombre del destinatario y el importe que aparece en tu pantalla. La mayoría de los fraudes con pagos por QR ocurren cuando alguien se salta esa comprobación — porque una pegatina cubría el código real del comercio, o porque un estafador envió un código que saca dinero en lugar de meterlo. Esta guía explica cómo funcionan estos pagos, cómo son los trucos más habituales y qué lista de comprobación sencilla pueden seguir tanto los clientes como los dueños de tiendas.
Cómo funcionan realmente los pagos con código QR
Un código QR no es más que un código de barras cuadrado que almacena texto. En los pagos, ese texto suele apuntar a una solicitud de pago: puede contener un identificador del comercio, un enlace a una app de pago o datos de una cuenta. Cuando lo escaneas con tu app bancaria o de pagos, la aplicación lee los datos y te muestra una pantalla de confirmación.
La clave está aquí: escanear no le paga a nadie. Escanear solo abre un borrador de la transacción. El pago ocurre cuando revisas los datos y confirmas — normalmente con un PIN, la huella o el desbloqueo facial. Esa pantalla de confirmación es tu oportunidad de detectar un problema, y es el momento más importante de todo el proceso.
Hay dos flujos habituales:
- El cliente escanea el código del comercio. Escaneas el código en la caja de una tienda o en un soporte, la app muestra el nombre del comercio, introduces o confirmas el importe y apruebas el pago.
- El comercio escanea al cliente. Algunos sistemas permiten que la tienda escanee un código de tu app, y después tú apruebas el importe que ellos han introducido. Aquí es la tienda quien controla el importe, así que vigila la pantalla que te enseñan o el importe que aparece en tu propia app.
Algunos códigos son "estáticos": el mismo código impreso se usa siempre, y tú escribes el importe. Otros son "dinámicos": una pantalla o un recibo muestra un código nuevo con el importe exacto ya incluido. Los códigos dinámicos son más difíciles de manipular, pero ambos acaban en el mismo sitio: una pantalla de confirmación que muestra a quién se le paga y cuánto.
Por qué los pagos por QR son un blanco
Los códigos QR son cómodos precisamente porque son opacos. Una persona no puede leer un código QR mirándolo. No tienes ni idea de lo que contiene hasta que una app lo decodifica. Esa distancia entre lo que ves (un cuadrado de aspecto inofensivo) y lo que hace (iniciar un pago) es exactamente lo que explotan los estafadores.
La segunda razón es la costumbre. Cuando la gente escanea códigos varias veces sin problemas, escanear se vuelve automático — apuntar, tocar, confirmar — a veces en segundos, sin leer la pantalla. La velocidad es buena para las colas, pero elimina el único punto de control que te protege.
La buena noticia: como un pago por QR siempre termina en una pantalla de confirmación que muestra el destinatario y el importe, casi todas las estafas habituales con QR son visibles en ese momento. Los trucos que veremos a continuación intentan que o te saltes esa pantalla o la leas mal.
El truco de la pegatina: un código falso pegado sobre uno real
Esta es la estafa clásica con pagos por QR. Un estafador imprime su propio código de pago — uno que envía el dinero a su cuenta — y lo pega sobre el código legítimo en un parquímetro, la caja de una tienda pequeña, un puesto de mercado, un punto de alquiler de bicicletas o un cartel que pide donaciones.
Escaneas lo que parece el código normal, la app muestra un nombre que no reconoces (o no lo compruebas), escribes el importe y le pagas a la persona equivocada. La tienda nunca recibe el dinero y puede seguir considerando tu factura como impagada, así que puedes perder dos veces.
Protegerte lleva segundos:
- Mira el propio código antes de escanear. ¿Es una pegatina puesta encima de otra cosa? ¿Tiene los bordes levantados? ¿Está ligeramente torcido o sobre un material distinto al de su entorno? Un código pegado con cinta sobre un cartel impreso es una señal de alarma.
- Después de escanear, lee el nombre del destinatario en la pantalla de confirmación. Si vas a pagar "Ayuntamiento de Madrid" y la pantalla muestra el nombre de una persona, detente.
- Si el código parece manipulado, avisa al personal o al dueño de la máquina y paga por otra vía.
"Escanea para recibir dinero" — la estafa invertida
Esta atrapa a quien asume que todos los códigos QR de pago funcionan igual. Un estafador te contacta — haciéndose pasar por un comprador en una web de segunda mano, un "agente de reembolsos" de una empresa de paquetería, o alguien que dice que te debe dinero — y te envía un código QR para escanear "para que el dinero llegue a ti".
Aquí está la trampa: escanear un código y confirmar no hace entrar dinero. En los flujos que la mayoría de la gente usa, escanear un código de pago inicia un pago desde tu cuenta hacia otra persona. El código del estafador es simplemente una solicitud de pago a su favor. Confirmas, y ya le has pagado — justo lo contrario de lo prometido.
La regla es simple y merece memorizarse: nunca escanees un código para recibir dinero. El dinero que te llega no requiere que escanees nada ni que confirmes un pago. Si alguien insiste en que escanear su código es necesario para "liberar" fondos, "verificar tu cuenta" o "completar un reembolso", eso es una estafa. Un reembolso genuino lo inicia quien envía; como mucho, podrías recibir una solicitud de pago en la función de peticiones de tu propia app — y aun así, un reembolso real nunca necesita que introduzcas un PIN ni que apruebes un pago saliente.
Mensajes urgentes y presión
Muchas estafas con pagos por QR llegan por mensaje: un SMS o un mensaje en una app de chat que parece venir de una empresa de paquetería, una oficina pública, tu banco o un comprador de una plataforma de venta. El mensaje crea urgencia — "tu paquete está retenido, escanea para pagar una pequeña tasa de aduanas", "tu cuenta será bloqueada, escanea para verificarla", "estoy listo para comprar tu artículo, escanea para recibir el depósito" — e incluye un código QR o un enlace a uno.
La urgencia es la pista. Las organizaciones reales no exigen pagos ni verificaciones de cuenta mediante un código QR en un mensaje no solicitado, y no te dan minutos para actuar. Cuando un mensaje te empuja a escanear ahora o perder algo, esa presión misma es la advertencia.
Hábitos seguros ante códigos no solicitados:
- No escanees códigos de mensajes que no esperabas, aunque el remitente parezca oficial. Los nombres y logos de remitentes son fáciles de falsificar.
- Si el mensaje dice ser de una empresa con la que realmente tratas, contacta con ella por el número de tu tarjeta, tu app o su web oficial — no por nada que aparezca en el mensaje.
- Nunca introduzcas datos de tarjeta, contraseñas ni códigos de un solo uso en una web a la que hayas llegado escaneando un código de un mensaje. Una confirmación de pago en tu propia app es una cosa; una página cualquiera que pide credenciales es otra.
Importes manipulados y hábitos de revisión de pantalla
En los pagos entre particulares y en algunos flujos de comercio, el importe lo teclea una persona: el vendedor lo introduce, o lo haces tú. El fraude en este ámbito suele ser burdo — un importe inflado, un cobro doble o una estructura de "depósito más comisión" que no tiene sentido.
Tu defensa es la pantalla de confirmación. Antes de aprobar cualquier pago, lee tres cosas:
- El nombre del destinatario. ¿Coincide con la persona o el negocio al que quieres pagar? Si vas a pagar a un amigo, ¿es el amigo correcto? Los contactos guardados y los nombres parecidos también causan errores honestos.
- El importe. Dígito a dígito, incluidos los decimales. "45.00" y "450.00" se diferencian en un toque en muchos teclados.
- La moneda y cualquier línea de comisión, si tu app la muestra, sobre todo en pagos internacionales.
Si alguien está a tu lado, animándote a "confirmar rápido", ve más despacio. La presión en la pantalla de confirmación — un vendedor que te coge el teléfono, un "ayudante" que teclea por ti, una multitud que te apura — es un patrón que conviene tratar con desconfianza. Recupera tu teléfono, lee la pantalla y, si algo no encaja, cancela. Cancelar una confirmación de pago pendiente siempre es seguro; el pago aún no ha ocurrido.
Lista de comprobación para clientes
Antes de cada pago por QR, repasa esta lista breve. Tarda más en leerse que en hacerse.
- Inspecciona el estado físico del código. En un mostrador, una máquina o un cartel: sin pegatinas, sin bordes levantados, sin un código colocado de forma extraña sobre otro.
- Escanea con tu propia app de confianza, abierta desde tu teléfono — no con una app de cámara que abre enlaces desconocidos, ni con un escáner que te entregue el vendedor.
- Lee el nombre del destinatario en la pantalla de confirmación. Compáralo con a quién quieres pagar.
- Lee el importe, dígito a dígito, antes de confirmar.
- Nunca escanees un código para recibir dinero. El dinero entrante no necesita tu confirmación de un pago saliente.
- Ignora los códigos urgentes en mensajes inesperados. Verifica por canales oficiales en su lugar.
- Usa una pantalla privada y un PIN real o verificación biométrica. No apruebes pagos mientras otra persona sostiene o mira de cerca tu teléfono.
- Conserva el recibo o una captura de la confirmación hasta estar seguro de que el pago fue correcto. Es tu prueba si algo sale mal.
- Denuncia los problemas de inmediato. Si pagaste a un código equivocado o confirmaste una solicitud fraudulenta, contacta cuanto antes con tu banco o proveedor de pagos y pregunta qué opciones existen. La velocidad importa; no esperes.
Lista de comprobación para comerciantes
Los dueños de tiendas se protegen a sí mismos y a sus clientes con unos pocos hábitos.
- Revisa tus códigos impresos a diario. Busca pegatinas, superposiciones o tarjetas sustituidas en cada mostrador, soporte y máquina. Conviértelo en parte de la rutina de apertura.
- Coloca los códigos donde no puedan cambiarse discretamente — tras el mostrador, plastificados, o en un soporte visible desde tu puesto de trabajo. Mantén la pantalla o el soporte bajo tu supervisión; un código sobre una mesa desatendida al fondo de la tienda es una invitación.
- Usa códigos dinámicos si tu proveedor lo permite — un código nuevo por transacción con el importe incluido no deja nada que un estafador pueda superponer con otro importe.
- Confirma el cobro antes de entregar la mercancía. Comprueba que el dinero llegó realmente a tu cuenta — una captura del cliente no es prueba; una notificación en tu propia app o una mirada al extracto sí lo es. Esto también detecta el farol del "ya he pagado" y el accidente del código equivocado en que el cliente pagó a otra persona.
- Avisa al personal de qué vigilar: un cliente que pide "arreglar" el código, una pegatina que tú no pusiste, un cliente que parece confundido con el nombre del destinatario.
- Actúa rápido si un código fue manipulado. Sustitúyelo, avisa a tu proveedor de pagos y coloca un aviso breve pidiendo a los clientes que pagaron a un código equivocado recientemente que te contacten — quizá podáis aclarar quién debe qué, y tu proveedor podría actuar con los avisos.
- Denuncia el fraude a tu banco o proveedor de pagos aunque la pérdida parezca pequeña. Los avisos ayudan a los proveedores a identificar patrones y advertir a otros comercios.
Qué hacer si algo sale mal
Los errores y el fraude ocurren. La respuesta es la misma:
- Detente. No envíes más dinero y no escanees nada más que la otra parte envíe "para arreglarlo". Una estafa posterior habitual pide a las víctimas una "tasa de recuperación".
- Contacta de inmediato con tu banco o proveedor de pagos por la app oficial o el número de tu tarjeta. Explica qué ocurrió, cuándo y cuánto. Pregunta qué opciones existen — algunos proveedores pueden congelar, revertir o investigar transacciones, y las probabilidades son mejores cuanto antes avises.
- Conserva las pruebas. Haz capturas de la confirmación, de los mensajes del chat y del código si puedes. No borres la conversación.
- Avisa a la otra parte si es un comercio. Si escaneaste un código manipulado en una tienda, la tienda perdió una venta y quizá no sepa que su código fue sustituido. Decírselo ayuda a todos.
- Denuncia ante las autoridades o canales de consumo de tu país si el proveedor te lo indica.
Nadie puede prometer que un pago equivocado se recupere — eso depende del proveedor, del momento y de las circunstancias. Pero avisar rápido siempre es mejor que avisar tarde, y en muchos casos es la diferencia entre un error recuperable y una pérdida permanente.
Conclusión
Los pagos por QR no son ni peligrosos ni mágicos — son una instrucción de pago que termina en una pantalla que tú controlas. Todo el juego de la seguridad vive en esa pantalla. Comprueba el nombre del destinatario y el importe antes de confirmar, nunca escanees un código para recibir dinero, desconfía de los códigos urgentes en mensajes inesperados y, si tienes una tienda, mantén tus códigos impresos donde solo tú puedas cambiarlos. Haz esas cuatro cosas cada vez, y a las estafas de pago por QR más comunes no les quedará nada con lo que trabajar.