QR suplantado: el fraude del código pegado encima y cómo evitarlo

El QR suplantado fraude es una amenaza real para comercios, ferias y restaurantes en Perú que cobran con códigos QR impresos. Pegar un código falso encima del original es un ataque simple, barato y difícil de detectar si no cuentas con un flujo de verificación bancaria. En este artículo te explico cómo funciona, por qué los QR estáticos son vulnerables y cómo un QR dinámico por cobro hace inútil este tipo de fraude.

¿Qué es el QR suplantado fraude y cómo afecta a tu negocio?

El QR suplantado fraude consiste en reemplazar el código QR de un comercio por otro que dirige los pagos a una cuenta del estafador. Es una modalidad de fraude que no requiere hackeos ni malware: basta con imprimir un QR falso y pegarlo encima del original.

En Perú, con la rápida adopción de Yape, Plin y billeteras interoperables, muchos negocios muestran un QR impreso en el mostrador, en las mesas de un restaurante o en una lámina junto a la caja. Si ese QR es estático —es decir, un código fijo que siempre apunta a la misma cuenta—, un delincuente puede cubrirlo con otro QR que redirija los pagos a su propia billetera.

El problema no es solo el dinero perdido. También afecta la confianza de tus clientes, genera fricción operativa (tienes que verificar capturas, perseguir pagos y lidiar con reclamos) y puede dañar la reputación de tu negocio. La mejor defensa no es revisar cada código cada cinco minutos, sino eliminar la raíz del problema: dejar de depender de un código fijo reutilizable.

Cómo opera el fraude del QR pegado encima

Este ataque sigue un patrón bastante simple:

1. El delincuente crea un QR propio que apunta a su cuenta de Yape, Plin o cualquier billetera interoperable.
2. Imprime el código falso en una etiqueta, sticker o lámina con dimensiones similares al QR original.
3. Lo pega encima del QR del comercio, cubriéndolo por completo o solo en la zona central donde se escanea.
4. El cliente escanea el QR suplantado, ve un alias o nombre parecido al del negocio y paga sin sospechar.
5. El comercio no recibe el dinero, pero muchas veces entrega el producto o servicio porque el cliente muestra una captura de pantalla con la transferencia realizada.

El fraude explota tres debilidades: la naturaleza estática del código, la validación manual basada en capturas y la falta de confirmación bancaria directa antes de dar por pagado un pedido. Por eso conviene revisar cada uno de estos puntos.

QR estático vs QR dinámico: por qué la estática es vulnerable

La diferencia entre un QR estático y un QR dinámico no es solo técnica: cambia por completo el nivel de riesgo.

Característica	QR estático	QR dinámico
Código	Fijo, reutilizable muchas veces	Único por cada cobro
Monto	No lo asocia o puede editarse manualmente	Monto fijo definido por el comercio
Caducidad	No expira	Expira en pocos minutos (15 min en TAYPI)
Riesgo de suplantación	Alto: pueden pegar otro QR encima	Muy bajo: no hay un código fijo que reemplazar
Verificación del pago	Suele depender de capturas	Confirmación directa con la entidad financiera

Un QR estático es como un letrero colgado en la pared: cualquiera puede cubrirlo con otro letrero. Un QR dinámico es como una caja registradora que solo acepta un pago específico durante unos minutos y luego se cierra. Aunque alguien intente pegar un QR falso, no podrá replicar el monto, la referencia ni la expiración que el comercio ya definió para esa operación.

Si quieres profundizar en este contraste, revisa las diferencias entre QR estático y QR dinámico EMVCo.

Cómo evita TAYPI la suplantación de QR con cobros dinámicos

TAYPI es una pasarela de pagos con QR interoperable para e-commerce y comercios en Perú. Su enfoque de cobro elimina la base del fraude del QR pegado encima: no genera un código fijo por comercio, sino un QR dinámico único para cada cobro.

Cada vez que inicias un cobro, TAYPI crea un QR con monto fijo y una referencia propia de la transacción. Ese código expira en 15 minutos. Es decir, si un delincuente imprime un QR falso y lo pega sobre el tuyo, no tendrá forma de replicar tu monto ni tu referencia; al escanearlo, el cliente verá un código que no corresponde al cobro original y, en muchos casos, el pago ni siquiera tendrá un destino válido.

Además, TAYPI verifica cada pago directamente con la entidad financiera, no con capturas de pantalla. Si TAYPI confirma el pago, está pagado. Esto refuerza la seguridad ante el fraude de capturas falsas, que suele acompañar al QR suplantado.

Otro punto clave es la seguridad estructural de TAYPI: opera sobre la infraestructura de pagos interoperables del BCRP vía CCE, cumple la normativa PLAFT de prevención de lavado de activos y mantiene certificaciones ISO 27001:2022 e ISO 9001:2015. Si quieres conocer más detalles, visita la página de seguridad de TAYPI.

Buenas prácticas para evitar el fraude de QR suplantado en tu comercio

Aunque un QR dinámico reduce drásticamente el riesgo, puedes complementar con estas medidas:

• Usa cobros con QR dinámico siempre que sea posible, en lugar de un sticker genérico permanente.
• Verifica el pago en tiempo real desde tu panel o sistema de cobro, no solo con la captura del cliente.
• Revisa físicamente el QR si está impreso en un lugar accesible al público, como mesas o cajas.
• Capacita a tu personal para identificar manipulaciones: bordes levantados, colores extraños o códigos sobrepuestos.
• Muestra el monto y el alias en tu cartel o pantalla, para que el cliente detecte discrepancias antes de pagar.
• Integra el cobro a tu e-commerce con una pasarela que genere QR por transacción, como el pago con QR dinámico de TAYPI.

La seguridad en los pagos digitales no es solo tecnología: también es hábito operativo. Si quieres una guía completa sobre cómo proteger tu e-commerce, te recomiendo leer seguridad en pagos digitales para comercios y fraude en pagos digitales: cómo proteger tu e-commerce.

Preguntas frecuentes

¿Qué es exactamente el fraude del QR pegado encima?

Es una modalidad en la que un estafador imprime un código QR con su propia cuenta y lo pega sobre el QR original de un comercio. Cuando el cliente escanea, paga a la cuenta del delincuente en lugar de la del negocio. Ocurre principalmente con QR estáticos que están fijos en mesas, vitrinas o cajas.

¿Cómo sé si un QR fue suplantado?

Algunos signos físicos son etiquetas sobrepuestas, bordes levantados, colores o materiales ligeramente distintos. Pero la forma más segura es tecnológica: con un QR dinámico por cobro el monto y la referencia se generan al momento, así que si el cliente escanea y ve un monto distinto o un alias sospechoso, es señal de manipulación.

¿El QR dinámico elimina por completo el riesgo de suplantación?

Ningún sistema elimina el riesgo absoluto, pero el QR dinámico único por cobro lo reduce a un nivel casi nulo. Al no existir un código fijo que reemplazar, el atacante no puede crear un QR que coincida con el monto, la referencia y la expiración de la transacción legítima. Además, la verificación bancaria directa confirma el pago en tiempo real.

¿Cuánto cuesta usar una pasarela con QR dinámico como TAYPI?

TAYPI cobra una comisión de 2.50% + S/ 0.20 + IGV por cobro confirmado. Por ejemplo, en un cobro de S/ 100, la comisión total es de S/ 3.19 y el comercio recibe S/ 96.81. No hay mensualidad, costo de instalación ni permanencia. Puedes revisar los precios de TAYPI para más detalle.

¿Qué hago si un cliente pagó a un QR falso?

Lo primero es no entregar el producto o servicio hasta confirmar el pago con tu entidad financiera o pasarela. Luego, reporta el incidente a la policía y a tu banco o billetera. Si tu flujo de cobro usa verificación bancaria directa, evitarás la mayoría de estos casos porque no dependes de capturas ni de confiar en la palabra del cliente.

Conclusión

El QR suplantado fraude no es un riesgo lejano: es un ataque común contra cualquier comercio que use un QR estático pegado en un mostrador o en una mesa. La clave para protegerte no es solo revisar códigos cada vez, sino cambiar la arquitectura de cobro: usar QR dinámicos únicos por transacción, con monto fijo, referencia propia, expiración corta y verificación bancaria directa.

TAYPI, al generar un QR dinámico por cada cobro que expira en 15 minutos y confirmar cada pago con la entidad financiera, convierte al QR pegado encima en un fraude prácticamente inútil. Si además complementas con buenas prácticas operativas y educación de tu equipo, reduces drásticamente tu exposición.

---

¿Listo para cobrar sin miedo a que alguien pegue un QR falso sobre el tuyo? Crea tu cuenta gratis en TAYPI y empieza a generar cobros con QR dinámicos, seguros y verificados.