Nueva modalidad de estafa a los conductores: El falso comparendo con código QR

Actualizado el 17 de abril de 2026

El ecosistema de la movilidad y el transporte se enfrenta a una amenaza digital que ha trascendido al mundo físico. En las últimas semanas, ha comenzado a circular una alerta crítica entre los propietarios de vehículos y motocicletas: la aparición de un papel impreso, dejado estratégicamente en los parabrisas de los automóviles o en los asientos de las motos, que simula ser una notificación de infracción de tránsito. Bajo el contundente mensaje “Vehículo en infracción. Usted se estacionó mal”, los ciberdelincuentes buscan generar una reacción de pánico inmediata en el conductor, obligándolo a escanear un código QR adjunto para, supuestamente, “ver su multa”.

Sin embargo, detrás de este rudimentario trozo de papel no hay ninguna autoridad de tránsito, ni Secretaría de Movilidad, ni Policía Nacional. Se trata de una sofisticada técnica de ciberdelincuencia conocida globalmente como Quishing (QR Phishing). Aunque en redes sociales y aplicaciones de mensajería como WhatsApp circulan mensajes alarmistas asegurando que al escanear el código “te clonan el celular”, la realidad técnica es distinta, pero no menos peligrosa. El objetivo real de esta nueva modalidad de estafa a los conductores es el robo masivo de datos personales, la suplantación de identidad y el vaciado de cuentas bancarias.

En este reportaje especial para Mundo Motor, desglosaremos desde una perspectiva técnica, periodística y de ciberseguridad cómo opera exactamente esta estafa, qué hay de cierto en los audios virales de advertencia, cómo operan realmente las autoridades de tránsito en Colombia frente a los comparendos y, lo más importante, cuál es el protocolo de acción para evitar convertirse en una víctima más de esta red de fraude.

La anatomía del engaño: ¿En qué consiste el falso comparendo?

La efectividad de esta nueva modalidad de estafa a los conductores radica en la ingeniería social. Los estafadores no atacan inicialmente los sistemas informáticos, sino la psicología del conductor. Encontrar una multa de tránsito en el vehículo genera una respuesta emocional inmediata: estrés, urgencia y temor a represalias financieras o legales.

El material físico utilizado es deliberadamente ambiguo y alarmante. Consta de un formato impreso, usualmente con colores que simulan señales de advertencia (naranja, rojo o amarillo en sus bordes), y un texto directo y acusatorio. La ausencia de logotipos oficiales, firmas de agentes de tránsito, números de placa del vehículo supuestamente infractor, fecha, hora o ubicación exacta, es reemplazada por un único y prominente elemento: un código QR bidimensional.

El mensaje que acompaña al código (“Para ver su multa escanee el código QR”) es el Call to Action (Llamado a la acción) malicioso. Al aprovecharse del desconocimiento general sobre cómo funcionan los procesos contravencionales reales, los delincuentes logran que un porcentaje significativo de personas, movidas por la curiosidad o el miedo, saquen sus teléfonos móviles y procedan con el escaneo. Es en este preciso instante donde la estafa pasa del mundo físico al entorno digital, exponiendo la seguridad informática del usuario.

Radiografía técnica: ¿Qué es el “Quishing” y cómo funciona realmente?

Para comprender la magnitud de esta nueva modalidad de estafa a los conductores, es imperativo entender la tecnología subyacente. El término Quishing es un acrónimo derivado de las palabras “QR” (Quick Response) y “Phishing” (suplantación de identidad).

Un código QR no es más que una representación gráfica y bidimensional de una cadena de texto, que en la inmensa mayoría de los casos corresponde a una URL (dirección web). Escanear un código QR es exactamente equivalente a hacer clic en un enlace de internet, con la agravante de que el ojo humano no puede “leer” ni inspeccionar la dirección web de destino antes de ejecutar la acción. Esta opacidad es el escudo perfecto para los ciberdelincuentes.

• Te podría interesar: Top 10 motos más vendidas en Colombia (Febrero 2026)

El proceso paso a paso del ciberataque

1. Despliegue físico: Células delictivas recorren zonas de alto flujo vehicular, parqueaderos públicos, zonas de estacionamiento regulado o calles comerciales, colocando masivamente los volantes fraudulentos en parabrisas y motocicletas.
2. El escaneo a ciegas: La víctima, al notar el papel y sentir la presión de la supuesta multa, utiliza la cámara de su teléfono. El lector del dispositivo decodifica el entramado de píxeles y redirige automáticamente el navegador web hacia el servidor controlado por los criminales.
3. La suplantación de interfaz (Spoofing): El código QR malicioso no lleva a un sitio oficial como el SIMIT (Sistema Integrado de Información sobre Multas y Sanciones por Infracciones de Tránsito) o una Secretaría de Movilidad gubernamental. En su lugar, abre una página web fraudulenta, diseñada meticulosamente para clonar la apariencia de una entidad estatal. Estas páginas suelen ostentar logotipos robados, colores institucionales copiados a la perfección y formularios que parecen completamente legítimos.
4. La extracción de datos: En esta plataforma falsa, se le indica al conductor que debe ingresar sus datos personales (cédula, placa, número de teléfono) y, el objetivo final, sus datos financieros (números de tarjeta de crédito, fechas de vencimiento, códigos de seguridad CVV) bajo la excusa de “pagar la infracción con descuento por pronto pago” o “verificar el estado de cuenta”. En el momento en que el usuario pulsa el botón de enviar, su información es capturada en texto plano por los servidores de la red criminal.

El mito de “te clonan el celular”: Separando la realidad de la ficción

En la imagen viral que circula por grupos y redes sociales advirtiendo sobre esta estafa, se lee explícitamente una premisa que genera terror: “Te lo dejan en el auto, lo escaneas y te clonan el celular”. Como especialistas en entornos digitales y periodismo de datos, es nuestro deber aclarar este punto para evitar la desinformación masiva, sin restarle un ápice de gravedad al asunto real.

Técnicamente hablando, la afirmación “te clonan el celular” por el simple hecho de abrir la cámara y escanear un código QR es falsa y carece de sustento en la arquitectura de seguridad de los sistemas operativos móviles modernos (como iOS de Apple o las versiones recientes de Android). Un escaneo estándar no tiene la capacidad técnica de realizar una copia exacta de su hardware, duplicar su tarjeta SIM a distancia, o extraer automáticamente todas las aplicaciones y galerías de fotos de su dispositivo en fracciones de segundo.

Sin embargo, lo que sí ocurre (y de donde probablemente surge la exageración coloquial del término “clonar”) es lo siguiente:

• Toma de control de cuentas (Account Takeover): Al entregar voluntariamente las credenciales de acceso o los datos bancarios en la página web falsa (creyendo que es la plataforma de la Secretaría de Movilidad), los delincuentes no necesitan “clonar” físicamente el teléfono. Simplemente, utilizan los datos que la propia víctima les entregó para acceder a sus aplicaciones bancarias desde cualquier otro lugar del mundo, vaciando los saldos o realizando transferencias ilícitas.
• Infección por Malware / Troyanos: En variantes más avanzadas del ataque, la URL maliciosa detrás del código QR no redirige a una página de pago, sino que fuerza la descarga de un archivo ejecutable malicioso (como un archivo .APK en dispositivos Android). Si el usuario, producto del engaño, acepta instalar este archivo creyendo que se trata de la “aplicación oficial de tránsito para revisar la foto-multa”, estará instalando un troyano bancario. Este software malicioso sí tiene la capacidad de operar en segundo plano, leer mensajes de texto (interceptando así los códigos de verificación por SMS que envían los bancos al realizar transacciones) y dar acceso remoto a ciertas funciones del terminal.

Es vital ser precisos con el lenguaje y la información que compartimos: la amenaza es real y financieramente devastadora, pero obedece a métodos de engaño, suplantación de identidad y ejecución de software malicioso por acción del usuario, no a una “clonación” mágica e instantánea.

Consecuencias directas para los conductores afectados

Caer en esta nueva modalidad de estafa a los conductores conlleva múltiples repercusiones que van mucho más allá del simple susto inicial. Según reportes de firmas internacionales de ciberseguridad que han analizado la evolución de esta estafa, las víctimas enfrentan tres escenarios principales de afectación:

• Fraude financiero directo: Uso casi inmediato de las tarjetas de crédito o débito vulneradas para realizar compras de alto valor en plataformas de comercio electrónico. Usualmente, estas compras se efectúan en jurisdicciones extranjeras o en criptomonedas para dificultar el rastreo del dinero por parte de las autoridades y los bancos.
• Suscripciones fantasma (Micro-cobros): En algunas modalidades de Quishing, los datos de la tarjeta robada no se usan para una compra grande y llamativa, sino que se inscriben en oscuros servicios de suscripción de pago (sitios de streaming no reconocidos, plataformas para adultos, software de dudosa procedencia). Estos servicios realizan pequeños cobros recurrentes mensuales, apostando a que la víctima no revisará sus extractos bancarios con el suficiente detenimiento para notar la fuga constante de capital.
• Robo y venta de identidad (Identity Theft): La información personal recopilada en el falso formulario (nombres completos, números de cédula, correos electrónicos, placas de vehículos vinculadas al titular) es empaquetada y vendida al mejor postor en foros clandestinos de la Dark Web. Esto expone al conductor a futuros ataques cibernéticos o a la suplantación de identidad para la apertura de créditos falsos y líneas telefónicas a su nombre.

Contraste: ¿Cómo notifican las verdaderas autoridades de tránsito?

Para blindarse definitivamente contra esta estafa, la herramienta intelectual más poderosa es el conocimiento de los procedimientos operativos estándar de las entidades gubernamentales en Colombia. Ninguna autoridad legítima opera mediante la distribución clandestina de papeles anónimos impresos en impresoras de inyección de tinta caseras.

A continuación, detallamos una tabla comparativa estricta basada en los lineamientos legales del Ministerio de Transporte y las secretarías competentes:

Recalcamos de manera categórica que, ante cualquier mínima duda sobre la existencia de una presunta infracción de tránsito, el único canal seguro, centralizado y de carácter nacional en Colombia es la plataforma en línea del SIMIT. Ningún ciudadano requiere de códigos QR de terceros para verificar su historial y estado de cuenta vial.

Cómo evitar ser víctima de esta estafa

La ciberseguridad vehicular comienza en el momento en que nos acercamos a nuestro medio de transporte. Si usted, conductor de automóvil particular, vehículo comercial o motociclista, encuentra uno de estos volantes en su ruta diaria, debe seguir estas directrices técnicas para neutralizar la amenaza:

1. Ignorar y destruir la evidencia: La regla de oro en ciberseguridad es la abstención. No escanee el código QR bajo ninguna circunstancia, ni siquiera “para ver qué sale” o por curiosidad. Arranque el papel y deséchelo de inmediato en un basurero para evitar que otro conductor incauto lo encuentre en el suelo y termine cayendo en la estafa.
2. Desactivar la apertura automática de enlaces web: Ingrese hoy mismo a la configuración de la aplicación de cámara de su teléfono móvil (válido tanto para ecosistemas Apple como Android). Asegúrese de que la opción que fuerza la apertura automática de los enlaces integrados en códigos QR esté estrictamente desactivada. La cámara debe mostrar la URL completa en la pantalla como una notificación preliminar, otorgándole a usted el poder de decisión y el tiempo de evaluar si la dirección web es sospechosa antes de permitirle el acceso al navegador.
3. Verificación manual e implacable de la URL: Si cometió el error inicial de escanear el código, deténgase y analice minuciosamente la barra de direcciones superior de su navegador web. Las entidades gubernamentales y de tránsito en Colombia utilizan obligatoriamente dominios institucionales que terminan en .gov.co (o .org.co en el caso del SIMIT). Si la dirección web que se despliega muestra cadenas de texto aleatorias, utiliza acortadores de enlaces públicos (como bit.ly, tinyurl, ow.ly) o presenta extensiones de dominio inusuales comerciales (.xyz, .top, .app, .com.co modificados), cierre la pestaña del navegador inmediatamente sin interactuar con la página.
4. No descargar jamás archivos ejecutables: Ninguna Secretaría de Movilidad, Ministerio o seccional de Tránsito le exigirá descargar un archivo externo mediante un código QR anónimo para notificarle un comparendo. Si tras escanear el código se inicia la descarga automática de un archivo, cancele el proceso de manera fulminante y elimine el rastro de la carpeta de descargas de su dispositivo móvil.
5. Cortar la cadena de desinformación: Comparta información estructurada, técnica y confirmada periodísticamente en lugar de reenviar imágenes sueltas o audios alarmistas anónimos que generan confusión. La prevención colectiva y la educación digital son las únicas vacunas reales contra este modelo de fraude masivo.

Protocolo de emergencia: ¿Qué hacer si ya ingresé mis datos?

Si está leyendo este reportaje porque, lamentablemente, ya cayó en la trampa del falso comparendo, escaneó el código y proporcionó información financiera sensible en la página web fraudulenta, el tiempo es su mayor adversario. Debe ejecutar de inmediato las siguientes acciones de contención de daños:

• Bloqueo financiero preventivo: Comuníquese de manera urgente, utilizando los números oficiales al reverso de su plástico, con la línea de atención al cliente de su entidad bancaria. Reporte explícitamente que sus tarjetas han sido comprometidas en un ataque de suplantación de identidad digital (Phishing). Solicite el bloqueo preventivo temporal y, de ser necesario, la cancelación y reemisión por seguridad de los plásticos vulnerados.
• Revisión exhaustiva de movimientos bancarios: Monitoree la aplicación oficial de su banco en busca de cargos transaccionales no reconocidos, por pequeños e insignificantes que parezcan. Si detecta anomalías, inicie el proceso formal de reclamación por fraude cibernético ante la entidad financiera.
• Actualización de credenciales de seguridad: Si la página fraudulenta, en su sofisticación, le solicitó ingresar contraseñas (por ejemplo, le presentó una pantalla falsa pidiendo iniciar sesión en su “portal bancario” para proceder al pago), asuma que esa clave ya está en manos de criminales. Cambie esas credenciales inmediatamente ingresando desde un dispositivo seguro y diferente, activando de forma innegociable la autenticación de dos factores (2FA) en todos sus servicios financieros.
• Denuncia oficial ante las autoridades: Presente una denuncia penal formal ante el CAI Virtual de la Policía Nacional de Colombia y la Fiscalía General de la Nación por delitos informáticos (amparados bajo la Ley 1273 de 2009 sobre protección de la información). Aunque el rastreo de estas bandas delincuenciales transnacionales representa un desafío técnico, su denuncia es fundamental para engrosar las estadísticas oficiales y permitir que los entes investigadores gubernamentales dimensionen la gravedad y el alcance territorial de esta nueva modalidad delictiva.

El impacto global del “Quishing” en el sector de la movilidad

Es imperativo entender desde un enfoque analítico que esta metodología criminal no es un fenómeno aislado de las calles colombianas. En la investigación para la elaboración de este artículo, hemos documentado que alertas operativas idénticas han sido emitidas durante los últimos 18 meses por organismos de seguridad del primer mundo.

Por ejemplo, la Policía Nacional de España y autoridades de ciberseguridad como el INCIBE han lanzado reiteradas advertencias sobre multas falsas simulando ser de la Dirección General de Tráfico (DGT), colocadas bajo los limpiaparabrisas de vehículos en ciudades densamente pobladas como Madrid y Málaga. Paralelamente, en Estados Unidos, el FBI se vio en la obligación de emitir una alerta federal de ciberseguridad ante el incremento alarmante de códigos QR fraudulentos pegados como calcomanías directamente sobre los parquímetros estatales en Texas, desviando el dinero legítimo de los estacionamientos hacia paraísos fiscales. En el Reino Unido, asociaciones independientes de automovilistas reportaron una epidemia masiva de Quishing en aparcamientos de hospitales y centros comerciales, donde a las víctimas se les extraían grandes sumas de dinero mediante suscripciones ocultas.

La evidencia internacional demuestra que esta nueva modalidad de estafa a los conductores es una estrategia cibercriminal altamente estructurada y estandarizada. Su popularidad entre los delincuentes radica en su bajo costo operativo (solo requieren imprimir cientos de papeles en una copistería) frente a una alta tasa de rentabilidad, aprovechándose del estrés situacional del conductor promedio.

Una alerta crítica para el sector del motociclismo

Desde nuestro rol en la prensa especializada en vehículos de dos ruedas, hacemos una advertencia directa a la gran comunidad de motociclistas del país. Por la propia arquitectura exterior y expuesta de nuestras motocicletas, nos convertimos en un blanco estático y fácil para los distribuidores físicos de estos volantes maliciosos.

Al dejar nuestras motos estacionadas en zonas urbanas de alto tráfico, bahías de parqueo o incluso en los semáforos, es lamentablemente común encontrar publicidad invasiva o estos falsos comparendos metidos a presión entre las levas de freno, pegados sobre la tapa del tanque de combustible o encajados en el asiento. Nuestra directiva técnica es mantener la calma absoluta, aplicar el filtro de escepticismo digital que hemos estructurado en esta guía y recordar en todo momento que la seguridad vial integral no solo depende del uso de indumentaria certificada o de frenos ABS en óptimas condiciones; hoy en día, exige obligatoriamente la protección activa de nuestra identidad digital y nuestro capital económico.

El escepticismo digital como primera línea de defensa

La acelerada convergencia entre nuestro entorno físico y las soluciones digitales ha traído consigo innegables ventajas en la movilidad urbana, pero paralelamente ha inaugurado peligrosos vectores de ataque que explotan directamente nuestras vulnerabilidades psicológicas y cognitivas. La nueva modalidad de estafa a los conductores, cimentada sobre el falso comparendo y el secuestro de la atención mediante un código QR, es la prueba más tangible y preocupante de que la ciberdelincuencia ha trascendido los correos electrónicos filtrados para esperarnos en el asfalto, adherida físicamente al cristal de nuestros vehículos.

Frente a la constante mutación de estas amenazas, la principal y más efectiva línea de defensa no recae en la adquisición de un software antivirus de última generación, sino en la aplicación estricta del sentido común, la pausa reflexiva antes de ceder a la urgencia artificial que imponen los estafadores, y el acceso a información periodística veraz, rigurosamente verificada y alejada del amarillismo digital. Ninguna infracción de tránsito genuina, bajo el marco legal vigente, exigirá jamás la liquidación apresurada de fondos a través de una página web anónima oculta tras un patrón de cuadros blancos y negros.

Adopte la desconfianza metódica como su copiloto, verifique cada requerimiento administrativo única y exclusivamente a través de los portales gubernamentales establecidos, y navegue su vida digital con el mismo nivel de anticipación, rigor y precaución defensiva con la que toma los controles de su vehículo en carretera.

En Mundo Motor verificamos nuestros datos. Conoce nuestro Código de Ética y nuestra Política de contenido original.