Cómo saber si un QR de pago es falso antes de pagar

Un QR de pago falso se ve igualito a uno real. Lo único que cambia es quién recibe la plata. Antes de pagar, lee el nombre de quien recibe, en el lector de QR de eThorns o en la pantalla de confirmación de tu app de pagos, y paga solo si coincide con el negocio o la persona a la que le quieres pagar. Si el nombre es otro, no aparece o se ve raro, no confirmes: pregunta primero.

Cómo funcionan los QR de pago falsos

Un sticker encima del código del negocio

Alguien imprime su propio QR de pago y lo pega encima del verdadero: en el mostrador de una tienda, en un parqueadero, en un puesto de la plaza de mercado. Los clientes lo escanean, su app dice que el pago salió bien y la plata cae en la cuenta del estafador. Muchas veces el negocio solo se da cuenta cuando los pagos que esperaba no llegan. Fíjate si el código está pegado encima de otro, tiene los bordes levantados, se ve más nuevo que el aviso que lo rodea o está un poco torcido.

Un QR que te mandan por chat

Un "comprador" en una página de compraventa te manda un QR "para que recibas el pago". Un "vendedor" te manda uno para el anticipo de algo que no existe. Un mensaje que dice venir de una empresa te pide escanear un código para pagar una multa o desbloquear una cuenta. Para el primer caso hay una regla que no falla: para recibir plata nunca tienes que escanear un código, poner tu clave ni aprobar nada en tu app.

Un QR que abre una página web

Algunos códigos traen un enlace en vez de datos de pago. Si un QR abre una página que te pide el número de tu tarjeta, la clave del banco o un código que te llegó al celular, ciérrala. Eso es una página falsa, no un pago.

Qué hay dentro de un QR de pago

Muchos QR de pago de bancos y billeteras siguen un formato internacional llamado EMVCo. El código no es secreto: es un texto corto dividido en campos fijos que cualquier lector puede mostrar.

Campo	Qué te dice
Nombre del comercio	Quién recibe la plata, tal como está registrado en el banco o la billetera
Ciudad y país	Dónde está registrado ese comercio
Monto y moneda	El monto solo viene en los códigos hechos para un pago puntual. Un código impreso en un mostrador casi nunca lo trae, y tú lo escribes.
Red y cuenta	Qué red de pagos o app lo procesa, y la cuenta o el identificador al que va la plata
Suma de verificación	Un número de control calculado con el resto del código. Si alguien cambia el contenido sin recalcularlo, deja de coincidir.

El punto débil es evidente: el estafador no necesita modificar el código de nadie. Puede crear un QR perfectamente válido para su propia cuenta e imprimirlo. Por eso lo que revisas es el nombre.

Revísalo con el lector de QR de eThorns

1. Abre el lector de códigos QR. Tómale una foto al código, o una captura de pantalla al que te llegó por chat, y suéltala ahí. También puedes presionar "Escanear con la cámara". La imagen se lee en tu dispositivo y nunca se sube.
2. Si es un QR de pago en formato EMVCo, la primera línea, en letras grandes, dice "Este QR le paga a:" seguido del nombre del comercio y la ciudad. Compáralo con el nombre del negocio o de la persona a la que esperas pagarle. Si dice "(sin nombre de comercio)", tómalo como una alerta.
3. Debajo aparece una tabla con el monto si lo tiene, la moneda, el país, la red de pago o app, y la cuenta o identificador.
4. Lee la línea de la suma de verificación. "Válida" solo significa que el código no está dañado: el QR propio de un estafador también pasa esa prueba. Si dice que la suma falta o no coincide, o que los datos están mal formados, no pagues con él.
5. Si el QR trae un enlace, el lector lo muestra como texto y nunca lo abre. Te ofrece revisarlo con el expansor de enlaces cortos, que te muestra a dónde lleva de verdad. Si el QR llegó con un mensaje, pega el mensaje en el detector de estafas, que reconoce los guiones de estafa más comunes; el texto se queda en tu navegador y solo sus enlaces van a nuestro servidor.
6. Si el código usa otro formato, el lector muestra su contenido tal cual. En ese caso, guíate por el nombre que muestra tu app de pagos.

Compara siempre el nombre en tu app de pagos

El lector es una revisión adicional. La última pasa en la app de tu banco o billetera, justo antes de confirmar.

1. Escanea el código con tu app de pagos, como siempre.
2. Antes de presionar confirmar, lee el nombre de quien recibe en la pantalla. Algunas apps lo muestran incompleto, con algunas letras ocultas. En Colombia, por ejemplo, cuando pagas por Bre-B, el sistema de pagos inmediatos del Banco de la República, con una llave o con un código QR, tu app te muestra el nombre enmascarado de quien recibe para que lo verifiques antes de confirmar.
3. Revisa también el monto, sobre todo si el código lo llenó solo.
4. Si el nombre no coincide con el negocio, pregúntale al cajero antes de pagar. Una tienda pequeña puede recibir los pagos en la cuenta personal del dueño, así que el nombre de una persona no es por sí solo una estafa, pero en el negocio te deben poder decir cuál es ese nombre.
5. Si no puedes confirmar quién recibe, paga de otra forma: en efectivo, con tarjeta o con los datos que te den en persona en el negocio.

Si tienes un negocio

• Revisa tus stickers de QR todos los días, sobre todo los que están afuera o donde nadie los vigila.
• Escribe junto al código el nombre de tu negocio tal como lo muestra la app de pagos, para que los clientes puedan comparar.
• Escanea de vez en cuando tu propio código con el lector y revisa que te siga pagando a ti.

Si ya pagaste

1. Llama ya a tu banco o billetera, al número que aparece en su app o en tu tarjeta. Di que fue un pago fraudulento y da la fecha, la hora, el monto y el nombre de quien recibió que mostró la app. No hay garantía, pero las primeras horas son las que más cuentan.
2. Guarda las pruebas: una foto del QR y del sticker, el comprobante en tu app y cualquier chat.
3. Avísale al negocio, para que quite el código falso antes de que más gente pague.
4. Denúncialo. La herramienta ¿te estafaron o hackearon? te da los pasos según lo que pasó (elige "plata que enviaste") y los lugares oficiales para denunciar en tu país. Para más detalle, lee dónde denunciar una estafa.
5. Desconfía de quien te ofrezca recuperar tu plata a cambio de un pago. Esa es una segunda estafa.

Lista rápida

• El QR no es un sticker pegado encima de otro código.
• El lector muestra un nombre de comercio que coincide con el negocio, y la suma de verificación es válida.
• Mi app de pagos muestra el mismo nombre antes de confirmar.
• El monto está bien.
• Nadie me pidió escanear un código para recibir plata.
• Si un QR me abrió una página web, no escribí datos de tarjeta ni contraseñas.

Preguntas frecuentes

¿Escanear un código QR me puede hackear el celular?

Un código QR solo contiene texto: datos de pago, un enlace, una red Wi-Fi. El riesgo está en lo que pasa después, como abrir una página falsa y escribir una contraseña, o pagarle a la cuenta equivocada. El lector de eThorns nunca abre el contenido.

La suma de verificación es válida. ¿Eso quiere decir que el QR es seguro?

No. Solo significa que el código no fue dañado ni editado. Un estafador puede crear un código válido para su propia cuenta. Lo que te dice a quién le pagas es el nombre.

¿Por qué mi app muestra el nombre con letras ocultas?

Para proteger la privacidad de quien recibe. Igual puedes comparar las letras que se ven con el nombre del negocio o con el nombre del dueño que te den en la caja.

¿Puedo recuperar mi plata?

A veces, sobre todo si le avisas a tu banco en minutos u horas. No está garantizado, así que revisar el nombre antes de confirmar es lo que de verdad te protege.

Pruébalo

• 4.8Lector de QRLee un código QR desde una foto, una captura o tu cámara y mira qué contiene, incluso a quién le paga un QR de pago.
• 1.1¿Es una estafa?Pega el mensaje o enlace que te llegó y mira sus señales de alerta: imitación de marcas, dominios nuevos, enlaces acortados, frases de estafa.

Para tu equipo

• US$19Kit antiphishing para pequeñas empresasUna charla de 30 minutos sobre mensajes falsos, lista para tu equipo: guía para quien la dirige, 12 mensajes de ejemplo, un póster, una política y un quiz.