Quishing: estafas con códigos QR en Colombia 2025 — cómo evitar el fraude al escanear
Escaneás un código QR para pagar la cuenta del restaurante, para salir del parqueadero o para conectarte al WiFi del centro comercial. Un acto tan cotidiano como peligroso: en 2025 el "quishing" —QR phishing— se convirtió en una de las modalidades de fraude digital de más rápido crecimiento en Colombia. Te mostramos las 5 estafas más comunes y cómo escanear sin riesgo.
El código QR dejó de ser una rareza tecnológica para convertirse en parte del paisaje urbano colombiano. Lo encontrás en las mesas de los restaurantes para pedir la carta, pegado en los parqueaderos para pagar el ticket, en las fachadas de edificios públicos, en volantes de promociones y hasta en los postes de la calle con ofertas de "WiFi gratis".
Pero lo que parece un simple cuadrado blanco y negro puede ser la puerta de entrada a un fraude. Los delincuentes aprendieron a reemplazar códigos QR legítimos con los suyos propios, redirigiendo a páginas de phishing, descargando malware en tu celular o robando tus credenciales bancarias. Esta técnica se conoce como "quishing" (QR + phishing), y en 2025 explotó en todo el país.
Según el Centro Cibernético de la Policía Nacional, las denuncias por fraudes vinculados a códigos QR se triplicaron entre enero y junio de 2025 comparado con todo el año anterior. Restaurantes, parqueaderos y centros comerciales de Bogotá, Medellín, Cali y Barranquilla encabezan las zonas de mayor incidencia. Cinco modalidades concentran el 90% de los casos.
1. QR falso en restaurante: phishing bancario al pagar la cuenta
Es la modalidad más extendida en Colombia durante 2025. Los estafadores imprimen códigos QR que imitan a los de las plataformas de pigo digital como Nequi, Daviplata o Bancolombia, y los pegan sobre los códigos legítimos en las mesas de los restaurantes. Cuando escaneás el QR para pagar la cuenta, en lugar de abrir la app de tu banco, te redirige a una página de phishing idéntica al portal de tu entidad financiera.
Allí te piden tu usuario, clave y código de seguridad. En el momento en que ingresás los datos, los estafadores los capturan y vacían tu cuenta en cuestión de minutos. En Bogotá y Medellín se han reportado más de 4.000 casos en restaurantes de zonas rosa como el Parque 93, Usaquén, El Poblado y Laureles.
Los restaurantes afectados suelen ser negocios legítimos cuyos códigos QR fueron físicamente reemplazados. Los estafadores llegan, se sientan, pegan su sticker encima del QR original y se van. Nadie nota la diferencia hasta que los clientes empiezan a reportar cargos no autorizados.
Qué hacer: Antes de escanear cualquier QR en un restaurante, verificá que no sea un sticker pegado encima. Mové el código con el dedo: si se levanta, es falso. Mejor aún: abrí la app de tu banco directamente desde tu teléfono y usá la opción "Pagar con código QR" desde ahí, en vez de escanear con la cámara genérica. Si pagaste y sospechás que el QR era falso, llamá inmediatamente a tu banco para bloquear tu cuenta.
2. QR en parqueadero público: malware disfrazado de pago
Esta modalidad creció en parqueaderos públicos de centros comerciales, supermercados y zonas de estacionamiento en la calle. Los estafadores pegan códigos QR en las máquinas de pago o en las señales de "Pague aquí" con la promesa de pagar el parqueo rápido desde el celular. Pero el QR no lleva a un pago: lleva a la descarga de un APK malicioso.
Al escanear el QR, se descarga automáticamente un archivo ".apk" en tu teléfono Android. Si lo abrís, instalás un malware que puede robar tus contactos, mensajes de texto (incluyendo códigos 2FA), credenciales bancarias y hasta tomar control remoto de tu dispositivo. En 2025, la Policía Cibernética identificó más de 1.200 casos en parqueaderos de centros comerciales en Bogotá, Cali y Barranquilla.
La razón por la que funciona: la gente tiene prisa por salir del parqueadero, el tiempo está corriendo y pagar desde el celular parece más rápido que ir a la caja. Los estafadores aprovechan esa urgencia para que no piensen dos veces antes de descargar un archivo desconocido.
Qué hacer: Jamás descargues archivos APK desde códigos QR. En Android, activá "Google Play Protect" para que escanee las apps antes de instalarlas. Nunca otorgues permisos de SMS o accesibilidad a apps que no sean de absoluta confianza. Si un QR te redirige a una descarga automática, cerrá la página inmediatamente.
NordVPN
3. QR de "pago de impuesto" pegado en edificios públicos
Una de las estafas más audaces de 2025: códigos QR falsos pegados en las puertas de alcaldías, notarías, oficinas de tránsito y sedes de la DIAN. Los estafadores colocan carteles que parecen oficiales con mensajes como "Pague su impuesto predial aquí" o "Consulte y pague sus multas de tránsito escaneando este código QR".
El diseño del cartel imita el de la entidad pública, con logos, colores oficiales y hasta falsos sellos de autenticidad. Pero el QR redirige a una página de phishing donde te piden el número de cédula, la matrícula inmobiliaria y los datos de pago. Toda la información va directamente a los estafadores, que luego la usan para suplantar tu identidad y realizar trámites fraudulentos a tu nombre. En mayo de 2025 se detectaron carteles falsos en 3 notarías de Bogotá y 2 sedes de la DIAN en Medellín.
Lo más grave: muchas personas escanean estos QR pensando que están haciendo un trámite legítimo y no se dan cuenta del fraude hasta semanas después, cuando reciben notificaciones de deudas que no reconocen o descubren que alguien más está usando sus datos.
Qué hacer: Los pagos de impuestos y trámites oficiales en Colombia siempre se hacen a través de los canales oficiales: página web terminada en .gov.co, ventanilla única de la entidad o aplicaciones oficiales como la de la DIAN o la Secretaría de Hacienda. Nunca escanees un QR pegado en una pared para pagar un impuesto. Si tenés dudas, preguntá adentro con un funcionario.
¿Te llegó un link sospechoso?
Verifícalo gratis en 3 segundos. El escáner de KAIZEN Protect consulta Google Safe Browsing, URLhaus, PhishTank y más fuentes para decirte si es seguro, sospechoso o peligroso.
Verificar enlace gratis → Sin registro · Sin tarjeta · Resultado en 3 segundos4. QR de "WiFi gratis" en centros comerciales que roba datos
Una de las tácticas más sutiles y efectivas. Los estafadores colocan calcomanías de "WiFi gratis" con código QR en mesas de áreas de comidas, pasillos de centros comerciales, aeropuertos y terminales de transporte. Escaneas el QR, te lleva a una página que te pide tu número de celular y un código de verificación que te llega por SMS para "conectarte al WiFi".
Lo que realmente está pasando: los estafadores están registrando tu número en servicios de suscripción premium (mensajes de texto que te cobran $5,000 COP por día), robando tus datos personales para campañas de phishing posteriores, o en algunos casos redirigiendo tu tráfico web a través de un proxy que captura todo lo que hacés en Internet mientras estás "conectado". Según la SIC, en 2025 se reportaron más de 3.500 casos de suscripciones fraudulentas activadas a través de QR de WiFi falso.
Cuando te llega la factura del celular con cargos por $100,000 o $200,000 en "servicios de contenido", recién ahí te das cuenta de que ese "WiFi gratis" te salió carísimo. Y para ese momento, los estafadores ya cambiaron de número y pegaron sus calcomanías en otro centro comercial.
Qué hacer: Antes de conectarte a un WiFi con QR, preguntá en la recepción o en un local cercano cuál es la red WiFi oficial del lugar. El nombre y la contraseña suelen estar visibles en carteleras oficiales, no en calcomanías improvisadas. Nunca ingreses tu número de celular para "conectarte a Internet". Usá siempre una VPN si te conectás a redes WiFi públicas.
5. QR en volantes de promociones: la estafa del falso descuento
Los volantes con códigos QR llegaron para quedarse: "Escanea y reclama tu descuento del 50%", "Participa por un bono de $500,000", "Gana un viaje a San Andrés escaneando este código". Los ves pegados en postes, repartidos en la calle, metidos debajo del parabrisas de tu carro o dejados en la recepción de tu edificio. En 2025, esta modalidad se disparó en época de temporada alta y fin de año.
Al escanear el QR, te lleva a una página que te pide llenar una encuesta con tus datos personales: nombre completo, cédula, dirección, fecha de nacimiento. Luego te dice que "compartas el enlace con 20 contactos de WhatsApp" para activar el premio. Es una estafa clásica de robo de datos combinada con cadena de WhatsApp, pero con un QR como puerta de entrada. Los datos robados se venden en foros clandestinos o se usan para abrir cuentas bancarias a nombre de las víctimas.
Hay una variante más peligrosa: el QR del volante lleva a una página que, sin que lo notes, suscribe tu número a servicios de mensajería premium o instala un rastreador en tu navegador que roba tus cookies de sesión de bancos y redes sociales. Con esas cookies, los estafadores pueden acceder a tus cuentas sin necesidad de contraseña.
Qué hacer: Desconfiá de cualquier promoción que llegue por volante callejero. Antes de escanear, buscá en Google la promoción + la empresa. Si es legítimo, aparece en sus canales oficiales. Nunca compartas datos personales a cambio de un supuesto premio. Y si te piden "compartir con 20 contactos", es 100% estafa.
NordVPN
¿Cómo detectarlo con IA?
Los estafadores se esfuerzan cada vez más en que sus páginas de phishing se vean idénticas a las originales. Pero hay patrones que la inteligencia artificial puede detectar mejor que el ojo humano: URLs sospechosas, errores en el certificado SSL, redirecciones ocultas y dominios recién registrados.
KAIZEN Protect analiza estos patrones en segundos. Si te llegó un mensaje con un código QR sospechoso —o si ya lo escaneaste y te redirigió a una página que no te convence—, pegá la URL en KAIZEN Protect y obtené un análisis inmediato: si la página es legítima, si pertenece a un dominio recién creado, si hay reportes de phishing asociados, y qué pasos seguir para protegerte.
No necesitás registro, no necesitás tarjeta. Es una herramienta gratuita creada para proteger a los colombianos del fraude digital. Antes de poner tus datos bancarios o personales en cualquier página, analizala.
¿Escaneaste un QR sospechoso?
Pegá la URL en KAIZEN Protect y en segundos sabés si es una estafa. Sin registro, sin tarjeta.
Analizar enlace gratis Sin registro · Sin tarjeta · 3 análisis gratis al díaEl quishing está creciendo porque escanear QR se volvió automático: no pensamos, solo apuntamos la cámara. Pero con estos hábitos podés reducir el riesgo a casi cero:
El código QR no es peligroso por sí mismo. Es una herramienta útil que nos ahorra tiempo y papel. El peligro está en la confianza automática con la que lo usamos: escaneamos sin mirar, sin verificar la fuente, sin preguntarnos a dónde nos va a llevar. En 2025, esa confianza es exactamente lo que los estafadores explotan.
Adoptá el hábito de mirar antes de escanear. Verificá si el QR está pegado, si el cartel tiene errores, si la URL es legítima. Si algo te parece fuera de lugar, no escanees. Mejor perdés un descuento que perdés tu plata o tus datos.
Compartí este artículo con tu familia, amigos y compañeros de trabajo. El quishing es una estafa silenciosa que se aprovecha de la cotidianidad. Mientras más personas sepan que un QR puede ser falso, más difícil se la ponemos a los delincuentes. En Colombia, la prevención es nuestra mejor defensa.
Protegé cada escaneo
KAIZEN Protect te ayuda a identificar páginas de phishing, QR maliciosos y enlaces fraudulentos antes de que sea tarde. Analizá cualquier enlace en segundos.
Analizar enlace gratis Sin registro · Sin tarjeta · Gratis
📖 También te puede interesar:
Estafas en MercadoLibre y OLX Colombia 2025
Estafas por WhatsApp Colombia 2025: las nuevas modalidades
Bold Colombia
💳 Acepta pagos seguros con Bold Colombia
Bold te permite recibir pagos con tarjeta sin mensualidad y con datáfono gratis. Ideal para emprendedores colombianos.
Crear cuenta gratis en Bold →Enlace de afiliado — nos apoyas sin costo extra para ti