Pagos con el celular: cómo funcionan y qué riesgos tienen

Pagar con el celular consiste en reemplazar la tarjeta de plástico por una copia digital que vive en el teléfono o en una pulsera. Detrás del gesto de acercar el aparato al datáfono trabajan las piezas de siempre: una red como Visa o Mastercard, un emisor que respalda la cuenta y un procesador que mueve la orden. Lo que se agregó es una app en el medio y un conjunto de estafas diseñadas para engañar a quien la usa.

Sobre qué pasa con tu dinero cuando algo falla, la respuesta tiene dos partes. La primera es que los controles más fuertes se están instalando antes de que el pago salga: Visa acordó pagar US$2.400 millones por BioCatch, una empresa que analiza cómo usas el teléfono para detectar impostores. La segunda es que la devolución del dinero depende del país, del medio de pago y del contrato con cada app, y ninguna de las fuentes revisadas para esta guía fija esas reglas. Por eso el texto describe el recorrido, los riesgos y los controles, y marca dónde termina lo documentado.

¿Qué pasa entre acercar el teléfono y que el comercio cobre?

El primer paso es vincular una tarjeta. En la pulsera Xiaomi Smart Band 10 Pro NFC, que salió a escala global a fines de mayo de 2026, la vinculación se hace desde la app Mi Fitness, en Android o iOS, y obliga a fijar un PIN en el propio brazalete. Funciona con plásticos de Mastercard y Visa, además de intermediarios como Curve, y paga en datáfonos mediante NFC, una tecnología que transmite datos solo a pocos centímetros.

El segundo elemento es la tokenización: el sistema usa un código sustituto en lugar del número real de la tarjeta. Así opera la integración de Mastercard Click to Pay en ZEN.COM, anunciada el 3 de julio de 2026. El usuario registra una tarjeta, marca un dispositivo como confiable y desde ahí compra en los comercios adheridos sin volver a escribir el número. Click to Pay lleva unos cinco años en el mercado. Según PYMNTS Intelligence, el 84% de los compradores del mundo considera importante poder pagar con un clic, y eliminar la carga manual de datos reduce a la mitad el tiempo de una compra en línea.

El tercer elemento es la cadena de empresas que nunca se ve. La Krak Card de Kraken, por ejemplo, corre sobre la red de Visa, la emite Lead Bank y Stripe Issuing actúa como procesador. En la Stablecard de Western Union, la infraestructura de wallet y tarjeta la aporta Rain, miembro principal de Visa y Mastercard, cuyas tarjetas se aceptan en más de 175 millones de comercios en más de 200 países y territorios. Entre tu dedo y el comercio hay, entonces, al menos cuatro actores: la app, el emisor, el procesador y la red.

¿Qué cambia cuando el saldo es cripto o stablecoin?

Una stablecoin es un token que busca valer lo mismo que una moneda tradicional, casi siempre el dólar. Western Union lanzó el 4 de agosto de 2026 su Stablecard, una wallet con tarjeta Visa respaldada por USDPT, una stablecoin que emite Anchorage Digital Bank sobre la red Solana y que la empresa afirma poder canjear 1 a 1 por dólares. La tarjeta se puede cargar en Apple Pay y Google Pay, y la compañía dijo que el producto ya operaba en 37 mercados, con la meta de superar 60 antes de que termine 2026.

La Krak Card suma otra variante: convierte el activo elegido a dólares en el momento de pagar. Una compra puede repartirse entre varias fuentes de fondos, y el usuario define en qué orden se gastan. Según Kraken, también decide así si una compra dispara un evento impositivo por vender cripto.

Sobre el costo real de mover dinero con estas monedas hay un dato de peso. El Banco de Italia siguió 200 transferencias reales en USDC desde Italia hacia Argentina, Brasil, Sudáfrica, Emiratos Árabes Unidos y Japón. El costo total, medido hasta que el destinatario tenía moneda local en su cuenta, fue de entre 0,3% y casi 9% del monto. Las comisiones de la red blockchain casi no pesaron: el gasto se concentró en las dos conversiones (de euros a USDC y de USDC a moneda local) y en los márgenes cambiarios. Los tiempos fueron de unos 20 minutos con sistemas de pago instantáneo y de hasta dos días hábiles con transferencia bancaria común.

Las grandes redes ya se mueven en esa dirección. JCB y Circle firmaron el 14 de julio de 2026 un memorando para evaluar USDC en pagos internacionales y en comercios, con una prueba de concepto como primer paso. Dos días después, Visa presentó su plataforma de stablecoins para que bancos y fintechs emitan, custodien y canjeen dólares digitales. El 15 de agosto de 2026 se conoció que Mastercard completó la compra de BVNK por US$1.800 millones, una empresa de infraestructura para stablecoins.

¿Cómo se estafa a quien paga con el celular?

El engaño que más creció en 2026 usa códigos QR. Microsoft contó 18,7 millones de ataques de ese tipo en marzo, frente a 7,6 millones en enero: un aumento de 146% en dos meses. La técnica se llama quishing y aprovecha que la dirección de destino de un QR queda oculta hasta que la cámara la procesa, de modo que la víctima no puede leerla antes de abrirla. Barracuda encontró que el 70% de los PDF maliciosos que analizó traía un QR hacia páginas de phishing, y que los códigos incrustados en el cuerpo de correos crecieron 336% en marzo de 2026.

En la calle, el riesgo es el código reemplazado. El INCIBE de España documentó en agosto de 2026 el caso de una clienta que escaneó el QR del menú de un restaurante, aceptó una ventana emergente y activó sin querer una suscripción premium. Nubank recomienda dedicar medio minuto a revisar el código antes de escanear: stickers torcidos o superpuestos, colores distintos a los del resto del cartel y destinos visibles en la vista previa de la cámara.

Hay además un fraude donde el pago no tiene nada de falso. En las estafas por coerción, la víctima autoriza ella misma una transferencia mientras alguien la presiona por teléfono. Ese es el caso más difícil para cualquier sistema, porque la orden llega con las credenciales correctas.