El quishing, la modalidad de estafa virtual que combina un código QR manipulado con una página falsa para robar credenciales bancarias, datos de tarjetas o desviar transferencias, se consolidó como el vector de fraude de mayor crecimiento a nivel mundial y ya presiona sobre el mercado argentino, líder en pagos por escaneo en América Latina.
La defensa arranca antes del pago: no escanear códigos con stickers superpuestos, verificar el nombre del destinatario en la app y nunca cargar contraseñas ni códigos de verificación en páginas abiertas desde un QR desconocido.
La escala del terreno atacado quedó a la vista en el último Informe Mensual de Pagos Minoristas del Banco Central. En julio de 2026, los pagos con transferencia iniciados con QR interoperable alcanzaron un récord de 115,9 millones de operaciones.
Del otro lado del mostrador, Microsoft Threat Intelligence detectó solo en marzo de este año 18,7 millones de amenazas de quishing sobre correo electrónico, un salto del 146% respecto de enero que ubicó a esta modalidad como el vector de mayor crecimiento del primer trimestre.
Cómo funciona el engaño explica por qué avanza tan rápido: la matriz de puntos de un QR, a diferencia de un enlace escrito, no permite leer el destino antes de que la cámara lo interprete.
La variante más habitual es la calcomanía pegada sobre un código legítimo en un bar, un parquímetro o un mostrador, que reemplaza al comercio real por una cuenta controlada por el estafador.
También circulan códigos que simulan validaciones o sorteos y terminan vinculando un dispositivo ajeno a la app de mensajería de la víctima, avisos con logos oficiales de multas y facturas truchas y paquetes no solicitados con un QR adentro que redirige a formularios de robo de datos o a apps por fuera de las tiendas oficiales.
Escanear un código falso no suele bastar para comprometer el teléfono. La mayoría de estas maniobras necesita una acción adicional: escribir una contraseña, autorizar una transferencia o instalar una aplicación. Es, ante todo, ingeniería social sobre una interfaz que se popularizó mucho más rápido que su alfabetización.
El ecosistema local le agrega volumen a esa exposición. Durante 2025 se procesaron más de 6.000 millones de transferencias inmediatas y unos 714 millones de pagos con QR, que duplicaron los 350 millones del año previo, según cifras compartidas por COELSA.
La cámara sumó, además, 348.268 registros en su Central de Prevención de Fraude durante ese período y 20.720 casos confirmados, con 117 bancos y billeteras conectados para detectar maniobras en tiempo real con inteligencia artificial.
"Los delincuentes no distinguen entre bancos, billeteras u otros proveedores de servicios de pago, buscan aprovechar cualquier vulnerabilidad disponible. La competencia puede convivir con la colaboración", planteó Atilio Velaz, CEO de COELSA, a iProUP.
El cuadro se completa con el Global Payments Report 2026 de Worldpay, que ubica al 84% de los argentinos que paga con el celular en un comercio como usuario de QR, muy por encima de Brasil y Colombia, y con un estudio de Kaspersky que reveló que el 76% de los usuarios locales admitió haber sido víctima de al menos una estafa digital durante 2025.
Qué hacer para no caer arranca por el soporte físico:
Si ya se escaneó un código sospechoso y hubo datos compartidos o una transferencia autorizada, hay que bloquear accesos, tarjetas y dispositivos vinculados con el banco o la billetera y conservar capturas, comprobantes y la URL abierta desde el QR.
En la Ciudad de Buenos Aires existe un protocolo de actuación rápida que permite pedir el congelamiento de cuentas sospechosas por 60 días si la denuncia se presenta dentro de las 24 horas, el monto defraudado es igual o superior a $3 millones y el hecho corresponde a jurisdicción porteña.
Según el Ministerio Público Fiscal porteño, ese mecanismo permitió recuperar más de $322 millones. La denuncia puede radicarse ante la Unidad Fiscal Especializada en Ciberdelincuencia del MPF de la Ciudad a través de la línea gratuita 0800-33-FISCAL o la comisaría más cercana.