Ese QR puede llevarte a una trampa: las 4 señales que conviene mirar antes de escanearlo

El código QR se volvió la forma más rápida de pagar el estacionamiento, ver una carta o completar un trámite. Esa misma comodidad lo convirtió en una herramienta útil para el fraude: un cuadrado impreso no dice a dónde lleva, y pegar una etiqueta encima de otra no requiere ninguna habilidad técnica. La buena noticia es que casi todas las trampas se detectan antes de completar la operación, con controles que no llevan más de unos segundos.

Los 4 controles antes de tocar el enlace

1. Mirar el soporte físico. Antes que la pantalla, el papel. Una etiqueta pegada sobre otra, bordes levantados, un adhesivo cuyo color o calidad de impresión no coincide con el resto del cartel, un sticker torcido sobre una superficie prolija: son señales de manipulación. En parquímetros, carteles de estacionamiento y mesas de bares, el QR suele estar impreso junto al resto del diseño; un cuadrado agregado aparte merece una segunda mirada.

2. Leer la vista previa antes de abrir. Las cámaras de los teléfonos actuales muestran la dirección de destino antes de navegar. Ahí conviene detenerse a leerla completa, no sólo el principio. Los acortadores de enlaces —que ocultan el destino real— son un motivo razonable para no seguir en un contexto de pago.

3. Comprobar que el destino tenga que ver con el lugar. Un QR de un municipio que lleva a un dominio que no es el del municipio, o el de un comercio que deriva a una plataforma que no es la que dice el cartel, no se explica por un error de diseño.

4. No ingresar datos que la operación no necesita. Pagar un estacionamiento no requiere el número completo de la tarjeta más el código de seguridad más un dato personal más una clave de home banking. Cuando un formulario pide de más, la señal es suficiente para frenar, aunque todo lo demás parezca correcto.

Ninguno de estos controles prueba por sí solo que haya fraude: son indicios que justifican verificar por otro camino, no una condena.

La etiqueta superpuesta que cambia el destino

El fraude más difundido con QR no es sofisticado: consiste en imprimir un código propio y pegarlo encima del legítimo. El cartel, el parquímetro o el afiche siguen siendo los del lugar, y la confianza que transmiten se traslada al código nuevo.

Por eso el control físico es tan importante y por eso conviene desconfiar de los QR en superficies expuestas y sin vigilancia: postes de la vía pública, carteles de estacionamiento, afiches en paradas, folletos dejados bajo el limpiaparabrisas del auto. En esos lugares nadie nota si un adhesivo apareció durante la noche.

Un buen hábito de reemplazo: cuando existe una alternativa sin QR —la aplicación oficial del servicio, el sitio del municipio escrito a mano en el navegador, el número de trámite— usarla. Escanear es cómodo, pero cuando hay dinero de por medio, escribir la dirección uno mismo elimina de raíz el problema del destino falsificado.

En comercios, la variante conocida es el QR presentado en el teléfono de un tercero o impreso en un papel suelto que no pertenece al local. Ahí corresponde pedir el código del comercio o pagar por otro medio.

Qué revisar en el dominio y la pantalla de pago

Si ya se abrió el enlace, quedan dos controles de peso.

El dominio es el primero. Hay que leerlo entero y prestar atención al final, no al principio: lo que define a un sitio es el nombre inmediatamente anterior a la extensión. Las imitaciones juegan con letras cambiadas, guiones agregados, palabras conocidas usadas como subdominio de otro sitio, o extensiones distintas de las oficiales. En trámites públicos argentinos, los dominios oficiales tienen formatos reconocibles y conviene confirmarlos desde el portal del Estado, no desde el mensaje.

La pantalla de pago es el segundo. Antes de confirmar hay que verificar el destinatario —a nombre de quién se acredita— y el importe exacto. Si el nombre del beneficiario no coincide con el comercio o el organismo, ahí termina la operación. En transferencias y pagos por billetera, esa confirmación del titular suele estar disponible antes de aceptar, y es el control más eficaz de todos: el fraude puede imitar un diseño, pero no puede cambiar a nombre de quién se acredita el dinero.

Un tercer detalle: desconfiar de las pantallas que piden instalar una aplicación para completar el pago, o que solicitan permisos de acceso remoto al teléfono. Ningún pago legítimo requiere que un tercero vea o controle la pantalla.

Qué hacer si ya ingresaste datos

Si la operación avanzó, la prioridad es cortar el daño rápido, en este orden.

Primero, avisar al banco o al emisor de la tarjeta por sus canales oficiales —los que figuran al dorso de la tarjeta o en la aplicación, no los del mensaje— para bloquear la tarjeta o la cuenta y frenar operaciones en curso. Cuanto antes se hace, más margen hay.

Segundo, cambiar las credenciales expuestas: clave de home banking, de la billetera y de cualquier servicio donde se repita esa contraseña. Si se ingresó un código de verificación recibido por mensaje, avisarlo también, porque es la llave que suele usarse para tomar el control de una cuenta.

Tercero, revisar los movimientos de los últimos días y desconocer formalmente las operaciones no autorizadas ante la entidad, dejando registro del reclamo con número de gestión.

Cuarto, denunciar. Los delitos informáticos tienen canales específicos; la unidad fiscal especializada en ciberdelincuencia y los canales de denuncia de la jurisdicción reciben este tipo de casos. Conviene guardar todo: fotos del QR y del lugar, capturas de las pantallas, comprobantes, fecha y hora.

Y quinto, si el QR estaba en un espacio público o en un comercio, avisar al responsable del lugar: es la manera de que el adhesivo se retire y de que no siga funcionando con otras personas.

En resumen: un QR legítimo se distingue de uno manipulado por cuatro controles —el estado físico del soporte, la dirección en la vista previa, la coherencia entre destino y lugar, y la razonabilidad de los datos que pide—, y el filtro final es siempre la pantalla de pago, donde el destinatario y el importe tienen que coincidir con lo esperado. Cuando exista una alternativa sin escanear, es la opción más segura; y si algo ya se ingresó, avisar a la entidad y cambiar credenciales en las primeras horas es lo que más reduce el daño.