Un código QR no es un sello de legitimidad. Solo codifica datos, y un estafador puede reemplazar el código impreso de una placa, pegar una etiqueta encima de un cartel o enviar un boleto de pago adulterado para que el dinero llegue a otra cuenta. Si la intención es pagar con Pix, el punto de control más seguro no es “abrir el QR” en el navegador: es iniciar la lectura dentro de la aplicación de tu banco y usar la pantalla de confirmación como barrera antes de que salga el dinero.
El Banco Central de Brasil exige que el recorrido de pago de Pix permita al pagador revisar información del destinatario antes de confirmar. Según el flujo, pueden aparecer datos como nombre, CPF/CNPJ, importe y otros datos de la cobranza, además de una forma de desistir antes de concluir. El propio Banco Central también recomienda verificar siempre el nombre del beneficiario antes de confirmar una operación. La regla práctica es simple: si el destinatario, el importe o el contexto no coinciden, cancela y vuelve al canal oficial.
Cómo comprobar un código QR sin abrir un enlace sospechoso
Un código QR puede contener distintos tipos de información: texto, la dirección de un sitio web o un payload de pago. Por eso, no es posible saber el destino solo mirando los cuadrados del código.
Cuando la finalidad es pagar por Pix, abre primero la app del banco o de la institución de pago, entra en Pix y elige la opción para leer un QR. Si se trata de un código Pix válido, la aplicación interpreta los datos y mantiene la operación dentro del flujo de pago. Un QR Pix dinámico puede contener una location técnica que el proveedor usa para obtener los datos de la cobranza; eso no significa que tengas que abrir manualmente esa dirección en el navegador.
Si, en vez de una cobranza Pix, la cámara del teléfono muestra un sitio, un acortador o una página externa, trátalo como un enlace, no como una prueba de que la cobranza sea legítima. No pulses solo porque el QR esté impreso en una placa o documento. Abre tú mismo la aplicación o el sitio oficial de la empresa y busca la cobranza desde allí.
Checklist antes de pagar: qué revisar en cada pantalla
| Etapa | Qué revisar | Señal de alerta | Acción más segura |
|---|---|---|---|
| Origen | ¿El QR proviene de la app, sitio, boleto o punto físico que esperabas usar? | Cobranza inesperada por mensaje o correo, sobre todo con presión o urgencia. | Ignora el código recibido y entra al canal oficial por tu cuenta. |
| Lectura | ¿La app bancaria reconoce el código como Pix y abre la vista previa del pago? | La lectura intenta llevarte directamente a navegador, formulario, descarga o página de inicio de sesión. | No continúes por ese enlace; busca la cobranza en la app o sitio oficial. |
| Destinatario | ¿El nombre y CPF/CNPJ mostrados corresponden a la persona o empresa que debería recibir? | Nombre desconocido, persona física cuando esperabas una empresa o CNPJ incompatible. | Cancela antes de confirmar y valida la cobranza con la empresa. |
| Importe | ¿El total coincide con la compra, factura, tarifa o servicio? | Importe mayor, menor o modificado sin explicación. | No lo “corrijas” por tu cuenta; genera una nueva cobranza en el canal oficial. |
| Contexto | ¿La descripción, el identificador y el estado de la cobranza tienen sentido para esa compra? | Referencia genérica o incompatible cuando debería existir una identificación específica. | Revisa pedido, factura o contrato en el canal original antes de pagar. |
| Confirmación | ¿Todo sigue correcto en la última pantalla? | Presión de otra persona o cualquier cambio de datos en el último paso. | Usa la opción de cancelar y reinicia desde una fuente confiable. |
Boleto con código QR: trata la parte Pix como un Pix
En su orientación sobre boletos falsos, el Banco Central explica que el QR presente en el documento bancario se utiliza para pagar por Pix. Esto cambia un aspecto importante del riesgo: el pago realizado con ese QR es instantáneo, sin la ventana de compensación asociada al boleto tradicional. En la práctica, revisa los datos del destinatario con el mismo cuidado que en cualquier otro Pix antes de confirmar.
Si eliges pagar con el código de barras del boleto, el Banco Central recomienda comprobar que el beneficiario mostrado sea la persona o empresa contratada y que el banco de destino coincida con el documento. Si hay diferencias, no pagues. También es más seguro obtener una segunda vía directamente en el sitio o aplicación oficial del proveedor que confiar en un archivo reenviado por mensaje.
Placa, cartel o etiqueta: busca señales de sustitución física
Los QR expuestos en estacionamientos, mostradores, mesas, cajas, eventos o comercios tienen un riesgo adicional: el código legítimo puede haber sido cubierto por otro. CERT.br advierte que los estafadores pueden cambiar códigos QR para desviar pagos a otra cuenta.
Antes de escanear, observa si hay una etiqueta pegada sobre otra superficie, diferencias de corte o impresión, bordes levantados, señales de manipulación, un QR desalineado con el resto de la placa o una etiqueta nueva colocada sobre material antiguo. Ninguna de estas señales, por sí sola, demuestra una estafa; sirven para aumentar la cautela.
Incluso cuando la placa parece intacta, la comprobación decisiva sigue siendo digital: compara el nombre y el CPF/CNPJ del destinatario con el establecimiento real. Si tienes dudas, pregunta al responsable y, cuando sea posible, confirma los datos del receptor por otro canal controlado por el propio comercio.
Un QR recibido por WhatsApp, SMS o correo exige cautela extra
Los mensajes fraudulentos pueden copiar logotipos, nombres, datos personales e incluso información verdadera de una compra. Una apariencia convincente no basta. CERT.br recomienda preferir códigos QR obtenidos directamente de sitios y aplicaciones oficiales y tener precaución con los códigos recibidos por mensajes.
Si una empresa afirma que tienes una cobranza pendiente, no uses el QR del mensaje como atajo. Abre la app que ya utilizas, escribe la dirección oficial en el navegador o accede al área autenticada mediante un favorito confiable. Luego busca la misma cobranza. Si no existe en el canal oficial, no pagues.
Qué debería ayudarte a comprobar la app bancaria
En los requisitos mínimos de experiencia de Pix, el Banco Central prevé que se muestren datos del destinatario para revisión antes de confirmar. En los flujos con clave Pix, esto incluye nombre completo, CPF enmascarado o CNPJ, la clave consultada, el importe y una forma de cancelar antes de concluir. Las pantallas de pago por QR también deben ofrecer información suficiente para que el pagador revise la operación.
Eso no significa que un nombre conocido convierta automáticamente el pago en seguro. Los estafadores pueden usar cuentas de terceros o empresas con nombres parecidos. Los datos deben tener sentido junto con el contexto: quién cobra, por qué, cuánto, por qué canal y en qué etapa de la compra.
Si los datos no coinciden, no “pruebes a ver qué pasa”
- Destinatario diferente: cancela inmediatamente.
- Importe diferente: no edites la cobranza para dejarla “parecida”; obtén una nueva.
- El QR abre un sitio extraño: no inicies sesión ni proporciones tarjeta, contraseña, token o código de verificación.
- La placa parece alterada: no uses ese QR; pide otra forma de pago o compruébalo con el establecimiento.
- El boleto llegó por un canal inusual: emite una segunda vía directamente desde el servicio oficial.
Este enfoque reduce el riesgo porque desplaza la confianza del papel, la etiqueta o el mensaje hacia los datos mostrados por el sistema financiero y hacia el canal oficial que tú decidiste abrir.
¿Ya confirmaste un Pix al destinatario equivocado o mediante un QR adulterado?
Una vez concluido un Pix, no funciona como una compra que puedas simplemente “cancelar” en la pantalla anterior. Si sospechas de una estafa —por ejemplo, un QR falso o reemplazado— contacta de inmediato a tu banco por canales oficiales e impugna la transacción para solicitar el análisis mediante el Mecanismo Especial de Devolución (MED).
El Banco Central informa que el MED puede solicitarse hasta 80 días después de la transacción, pero actuar rápido aumenta las posibilidades de recuperar el dinero. La devolución no está garantizada: depende del análisis del caso y de que haya fondos disponibles en la cuenta involucrada. El MED tampoco está destinado a un Pix enviado a la persona equivocada simplemente porque el pagador no revisó el nombre; se aplica a fraude y a las demás situaciones contempladas por las reglas del mecanismo.
Guarda el comprobante, fotos de la placa o del cartel, el boleto recibido, mensajes, correos y cualquier evidencia de que el QR fue sustituido. Estos registros pueden ayudar en la impugnación y en una eventual denuncia policial.
Flujo rápido antes de pagar
- Abre la app oficial de tu banco, no un enlace recibido.
- Entra en Pix y escanea el QR desde dentro de la app.
- Confirma destinatario, CPF/CNPJ, importe y contexto.
- Si algo no coincide, cancela antes de confirmar.
- Vuelve al sitio, app o soporte oficial de la empresa y genera la cobranza otra vez.
- Si ya pagaste y sospechas de fraude, impugna el Pix inmediatamente en tu banco y solicita revisión mediante MED.
Como referencia, consulta las orientaciones del Banco Central sobre seguridad en Pix, su FAQ sobre estafas con boletos, los requisitos mínimos de experiencia del usuario de Pix y las recomendaciones de seguridad de CERT.br.
