¿Qué es el quishing?
El "quishing" (phishing con código QR) consiste en reemplazar o superponer un código QR legítimo por uno fraudulento que redirige el pago a una cuenta controlada por el estafador, o que lleva a una página falsa diseñada para robar datos. A diferencia del phishing tradicional, la víctima no puede "leer" el destino real antes de escanear: el código oculta la URL o la cuenta destino hasta el último momento.
Dónde aparecen los QR falsos con más frecuencia
En Colombia, los casos más reportados de quishing ocurren en:
- Parqueaderos: stickers con QR falsos pegados sobre el código oficial de la tarifa.
- Restaurantes y mesas: códigos que reemplazan el QR del menú o del pago en caja.
- Facturas de servicios públicos: QR alterados que redirigen el pago a una cuenta distinta a la del operador.
- Publicaciones en redes sociales: promociones falsas que piden escanear un QR para "reclamar un premio".
Cómo diferenciar un QR legítimo de uno alterado
Un QR fraudulento suele estar impreso en un sticker de calidad ligeramente distinta al material original, a veces pegado de forma visiblemente torcida sobre el código real. La mejor práctica es escanearlo con la cámara del celular sin abrir el enlace de inmediato: la mayoría de apps muestran primero la URL completa antes de redirigirte, lo que te da la oportunidad de verificar el dominio.
El riesgo para los negocios que cobran por QR
No solo los consumidores son víctimas: un negocio que expone su QR de cobro en un lugar público (mesa, vitrina, mostrador) corre el riesgo de que alguien lo cubra con un QR propio, desviando el pago de un cliente sin que ni el comercio ni el comprador lo noten hasta después.
Buenas prácticas para proteger tus códigos QR de cobro
- Revisa físicamente tus QR impresos al inicio de cada jornada.
- Usa materiales difíciles de cubrir con un sticker (plastificado, integrado a un soporte fijo).
- Prefiere mostrar el QR desde una pantalla o datáfono en el momento del pago, en lugar de dejarlo expuesto todo el día.
- Verifica siempre el monto y el nombre del destinatario que muestra la app antes de confirmar cualquier pago por QR.
Verificación como última línea de defensa
Incluso con todas las precauciones, la única confirmación real de que un pago por QR llegó es verlo reflejado en tu cuenta o en la notificación oficial del banco. La lectura de código QR es una de las capas de análisis que usa Verigo para validar comprobantes recibidos por WhatsApp o correo, cruzando la información visible contra los datos reales de la transacción.
