Código QR falso (quishing): cómo detectarlo y qué hacer si ya lo escaneaste

Llegas a tu carro y encuentras un papel en el parabrisas: “Vehículo en infracción. Escanee el código para consultar su comparendo”. O vas a pagar en un local, en un parqueadero o en un parquímetro y el código QR tiene un adhesivo encima. O te llega por WhatsApp un QR “para donar” a una campaña solidaria. En los tres casos puedes estar frente a un código QR falso.

A esta modalidad se le llama quishing (phishing con códigos QR). En Colombia ha tomado fuerza en 2026: la Secretaría de Seguridad de Bogotá alertó por falsos comparendos con QR dejados en vehículos, y la Policía advirtió sobre QR y llaves Bre-B falsas para “donar” después de emergencias. En esta guía te explico cómo funciona, cómo detectar un QR trampa en 30 segundos y qué hacer si ya lo escaneaste. Si quieres el contexto general de los mensajes engañosos, revisa también Cómo reconocer y evitar el phishing y el smishing en Colombia.

Qué es el quishing y por qué funciona

Un código QR es solo un enlace “escondido” en un dibujo. El problema es justamente ese: con un enlace escrito puedes leer la dirección antes de abrirla, pero con un QR la mayoría de personas escanea y entra sin mirar. El delincuente aprovecha esa confianza y la mezcla con un poco de presión: una multa, un pago pendiente, una causa solidaria o un descuento que vence hoy.

Al escanearlo, normalmente pasa una de estas cosas:

• Te lleva a una página que imita una entidad (Secretaría de Movilidad, SIMIT, tu banco, una tienda o una fundación) y te pide datos personales, usuario y clave, o los datos de tu tarjeta.
• Te lleva a un pago falso: crees que le pagas al parqueadero o al comercio, pero el dinero va a la cuenta del estafador.
• Te invita a descargar una app o un archivo (por ejemplo un APK “para ver la multa”), que puede ser malware. Sobre esto escribí en detalle en APK falso por WhatsApp: cómo reconocerlo.
• Te pide iniciar sesión con Google, Microsoft o WhatsApp para “verificar tu identidad”, y así roba la cuenta.

Un dato tranquilizador: escanear un QR, por sí solo, no “clona” tu celular, aunque eso digan algunas cadenas de WhatsApp. El riesgo real empieza cuando entras a la página y escribes datos, pagas o instalas algo.

Dónde aparecen los QR falsos en Colombia

1. Falsos comparendos en el carro o la moto

Es la modalidad más reciente. Dejan un papel con apariencia oficial, logos copiados y un QR para “consultar o pagar la multa con descuento”. Las autoridades han sido claras: los comparendos no se notifican con un QR pegado en el vehículo. Las multas reales se consultan en el SIMIT o en la página oficial de la Secretaría de Movilidad de tu ciudad, escribiendo tú la dirección.

2. Adhesivos encima del QR original

En parquímetros, restaurantes, carteles publicitarios, puntos de recarga o mostradores, el estafador pega su propio código sobre el legítimo. El cliente cree que paga al negocio, pero paga a otro. Los bancos recomiendan revisar si el QR está torcido, despegado, con bordes levantados o si hay un código debajo de otro.

3. QR para donaciones falsas

Después de una tragedia aparecen campañas falsas con QR, llaves Bre-B o cuentas de Bancolombia y Davivienda a nombre de supuestas fundaciones. Si quieres ayudar, entra directamente a la página oficial de la organización (Cruz Roja, Unicef u otra conocida) y dona desde ahí.

4. QR en correos y mensajes

Llegan correos que dicen ser de tu banco, de la DIAN o de tu empresa, con un QR para “actualizar datos” o “activar la autenticación”. Usan QR porque muchos filtros de correo revisan enlaces pero no leen imágenes. Ninguna entidad seria te pide actualizar la clave escaneando un QR de un correo.

5. Ventas por Marketplace y pagos “para recibir dinero”

Si vendes algo y el comprador te manda un QR “para que recibas el pago”, desconfía. Para recibir dinero no necesitas escanear nada ni poner tu clave: quien paga eres tú cuando escaneas.

Cómo detectar un código QR falso en 30 segundos

1. Mira el soporte. ¿Es un adhesivo pegado encima de otro? ¿Está mal recortado, torcido o con letra distinta al resto del cartel? Si dudas, pregunta al personal del lugar.
2. Lee la vista previa del enlace antes de abrirlo. La cámara del celular muestra la dirección. Revisa que sea el dominio oficial (por ejemplo, que termine en .gov.co para una entidad pública). Desconfía de acortadores (bit.ly, tinyurl), letras cambiadas, guiones raros o dominios extranjeros.
3. Desconfía de la urgencia. “Pague hoy con 50 % de descuento”, “su vehículo será inmovilizado”, “última oportunidad”: la prisa es la herramienta del estafador.
4. No instales nada desde un QR. Las apps se descargan de Google Play o App Store, buscándolas tú por su nombre.
5. No escribas claves ni datos de tarjeta en una página a la que llegaste por un QR desconocido. Si necesitas pagar o consultar, abre tú la app oficial o escribe la dirección a mano.
6. Antes de pagar, confirma el destinatario. Tu app bancaria muestra a quién le vas a transferir. Si el nombre no coincide con el comercio, cancela.

Buenas prácticas para el día a día

• Usa el escáner de tu app bancaria para pagos con QR (Bancolombia, Nequi, Daviplata y otros lo tienen). Así ves el nombre del receptor y el valor antes de confirmar.
• Activa la verificación en dos pasos en tus cuentas importantes. Si alguien roba tu clave, todavía le falta el segundo factor. Aquí tienes la guía: Verificación en dos pasos (2FA).
• Usa un gestor de contraseñas. Además de crear claves fuertes, un gestor no rellena tu clave en un sitio falso, porque el dominio no coincide. Más información en Gestor de contraseñas.
• Mantén el celular actualizado y con Google Play Protect activo en Android.
• Si tienes un negocio, revisa a diario tus QR impresos, protégelos con una lámina o marco y pon el nombre del titular de la cuenta junto al código para que el cliente pueda comparar.
• Habla del tema en familia. Los adultos mayores suelen confiar en los papeles “oficiales”. Te dejo una guía para ellos: Cómo proteger a tus padres y abuelos de las estafas digitales.

Qué hacer si ya escaneaste un QR falso

Depende de lo que hiciste después de escanear:

• Solo abriste la página y la cerraste: en general no pasa nada. Borra el historial de esa pestaña y sigue con tu día.
• Escribiste un usuario y clave: cambia esa contraseña de inmediato desde un dispositivo confiable, cierra las sesiones abiertas y activa la verificación en dos pasos. Si usabas la misma clave en otros sitios, cámbiala también allí.
• Pusiste datos de tarjeta o hiciste un pago: llama ya a tu banco por la línea oficial (la que está detrás de tu tarjeta o en la app), bloquea la tarjeta y pide desconocer la transacción. Mientras más rápido, más posibilidades hay de frenar el dinero.
• Instalaste una app: pon el celular en modo avión, desinstala la app, revisa en Ajustes qué apps tienen permisos de accesibilidad o de administrador y retíralos. Si la app tuvo acceso a tu banca, avisa al banco y cambia tus claves desde otro equipo.
• Entregaste datos personales (cédula, dirección): vigila tus productos financieros y desconfía de llamadas que usen esa información para parecer legítimas.

Después, denuncia: puedes hacerlo ante la Policía Nacional (CAI Virtual) o la Fiscalía, y guarda capturas del QR, del papel o del mensaje y de la página. Si quieres el paso a paso completo, lee Qué hacer si ya te estafaron: pasos urgentes, denuncia y recuperación.

Preguntas frecuentes

¿Me pueden hackear el celular solo por escanear un QR?

Es muy poco probable con un teléfono actualizado. El peligro está en lo que haces después: escribir claves, pagar o instalar archivos. Por eso la regla es mirar el enlace antes de abrirlo.

¿Cómo consulto si de verdad tengo un comparendo?

Entra tú al SIMIT o a la página de la Secretaría de Movilidad de tu ciudad, escribiendo la dirección en el navegador, y consulta con tu número de cédula o placa. Nunca uses el QR ni el enlace del papel que te dejaron.

¿Es seguro pagar con QR en tiendas?

Sí, si lo haces con la app de tu banco y confirmas que el nombre del receptor coincide con el negocio antes de aprobar. Si algo no cuadra, paga por otro medio.

¿Qué hago si encuentro un QR sospechoso pegado en un lugar público?

No lo escanees y avisa al responsable del lugar (el comercio, el parqueadero o la entidad). Si es un aviso que suplanta a una autoridad, repórtalo a la Policía.

Conclusión

El código QR falso funciona porque no podemos “leerlo” a simple vista. La defensa es sencilla: mira el soporte, lee el enlace antes de abrirlo y nunca pagues ni pongas claves desde un QR que no esperabas. Para multas, pagos y donaciones, entra tú por el canal oficial. Comparte esta guía con quien maneje carro o moto en tu familia: hoy esa es la trampa más común.