Código QR Pix alterado: cómo saberlo antes de pagar y qué hacer

Un código QR Pix alterado (Pix es el sistema de pagos instantáneos del Banco Central do Brasil) se ve igual que el verdadero y cobra el mismo monto. Lo que cambia es quién recibe. Por eso la única forma de notarlo antes de pagar es mirar el beneficiario en la app del banco: el nombre y el CNPJ (registro de empresa en Brasil) que aparecen en la pantalla de confirmación tienen que ser de la tienda o de la empresa que procesa sus pagos.

Cómo se altera el código QR del Pix

La alteración puede ocurrir en tres lugares:

• En la página de la tienda. Un código malicioso instalado en el sitio cambia el QR y el Pix Copia e Cola (el código de pago en texto que el cliente copia y pega en la app de su banco) en el momento del pago. En septiembre de 2026, Kaspersky confirmó 90 tiendas online brasileñas en esta situación. El cliente estaba en el sitio correcto y no vio nada distinto.
• En tu computadora o celular. Un programa malicioso o una extensión del navegador cambia el código copiado o la imagen que se muestra. Explicamos este caso en virus que cambia el QR del Pix.
• En el mensaje. Un QR enviado por WhatsApp, correo electrónico o redes sociales, fuera del sitio, por alguien que se hace pasar por la tienda.

En los tres casos el monto suele ser el correcto. La estafa funciona justamente porque nada en el monto llama la atención.

Qué revisar antes de confirmar el Pix

1. El nombre del beneficiario. Debe ser la razón social de la tienda, su nombre comercial o el de un intermediario de pago conocido. Un nombre de persona física o una empresa sin relación con la compra es motivo para detenerse.
2. El CNPJ. Muchas tiendas muestran el CNPJ en el pie de página del sitio. Compáralo con el que aparece en la app del banco.
3. La institución de destino. La app suele mostrar el banco o la institución que va a recibir. Si la tienda informa que cobra a través de un proveedor, este debe aparecer ahí.
4. El monto y la descripción. Un QR de la tienda suele traer el número de pedido o el nombre de la tienda en la descripción.

El Procon-SP (órgano de defensa del consumidor de São Paulo) hizo la misma recomendación en septiembre de 2026: no basta con revisar el monto, hay que revisar el nombre y el CNPJ del destinatario y no completar el pago si son diferentes o desconocidos.

Una salvedad justa: en tiendas pequeñas, el Pix puede estar legítimamente a nombre del dueño. Si el nombre no coincide, pregúntale a la tienda por un canal que tú mismo encontraste, como el teléfono o el chat del sitio, antes de pagar.

Señales de que algo está mal

• El nombre del beneficiario no tiene relación con la tienda.
• El pedido sigue en "esperando pago" mucho después de que el banco muestra el Pix como completado.
• La tienda dice que no recibió el pago, y el comprobante muestra otro CNPJ.
• El QR llegó por mensaje, y no en la página de pago del sitio.

Pagué un QR alterado: qué hacer ahora

1. Abre la app de tu banco y usa la opción Contestar Pix (Impugnar Pix). El botón de autoservicio existe desde octubre de 2025. Elige la transacción y el motivo estafa o fraude.
2. Hazlo el mismo día, si puedes. El plazo para pedir la devolución por el MED (Mecanismo Especial de Devolução, el mecanismo de devolución del Pix en caso de fraude) es de 80 días, pero el dinero solo vuelve si todavía hay saldo en las cuentas que lo recibieron. Los estafadores suelen repartir el monto en pocas horas.
3. Avisa a la tienda. Envía el comprobante y explica que el beneficiario es otro. Eso ayuda a la tienda a descubrir y corregir la falla, y protege a otros clientes.
4. Guarda todo. El comprobante, capturas de pantalla de la página de pago, la conversación con la tienda y el número de reclamo del banco.
5. Presenta una denuncia policial. Es opcional para la impugnación, pero fortalece la solicitud y ayuda a la policía a vincular los casos.

Si no estás seguro de que fue una estafa, lee Pix equivocado en una compra online: ¿error o estafa?. La diferencia decide si el MED aplica a tu caso.

Por qué la culpa no es del cliente

Cuando la alteración ocurre en el sitio de la tienda, el cliente hizo todo bien: entró a la dirección correcta, eligió el producto y pagó el monto pedido. Revisar el beneficiario es una buena defensa, pero no debería ser la única. Quien muestra el QR es la página de la tienda, y es ahí donde hay que protegerlo.

Para comerciantes

Si los clientes empezaron a enviar comprobantes a nombre de otra empresa, trátalo como un incidente. Consulta la guía completa sobre la estafa del Pix en el checkout.

Proteside protege ese punto: verifica, en la pantalla de quien paga, que el QR y el Copia e Cola sean los que emitió la tienda, y bloquea el cambio antes de la confirmación. Conoce la protección del Pix en el checkout.