O golpe do QR Code troca o código de pagamento verdadeiro por um falso, e o seu Pix cai na conta de um criminoso em vez de ir para a loja. A Febraban fez um alerta nacional nesta semana: a fraude aparece em adesivos colados sobre plaquinhas de restaurantes, em boletos adulterados e até em sites de lojas conhecidas. A boa notícia é que existe um dado que denuncia o golpe em quase todos os casos, e ele aparece no aplicativo do banco antes de você confirmar. Explico qual é, onde o golpe acontece e o que fazer se você já pagou.
Como funciona o golpe do QR Code falso
O criminoso coloca um QR Code dele no lugar do verdadeiro. Você aponta a câmera, o app do banco abre com o valor certo ou parecido, você confirma e o dinheiro vai embora na hora, porque o Pix não tem prazo de compensação. Tem até nome técnico: quishing, a mistura de QR com phishing. Segundo a Febraban, o código falso pode substituir o legítimo sem nenhuma mudança visível no resto da página ou do papel.
| Onde acontece | Como o código é trocado | O que conferir |
|---|---|---|
| Restaurante, feira, estacionamento | Adesivo colado por cima da plaquinha original | Sinal de adesivo, borda descolando, código em lugar estranho |
| Boleto impresso | QR Code do documento adulterado | Nome do beneficiário no app e valor da conta |
| Loja virtual invadida | Programa malicioso troca o QR Code e o copia e cola na hora do pagamento | Nome e CNPJ do recebedor (o valor continua certo) |
| Site falso ou link por mensagem | Página que imita uma loja famosa | Endereço do site; prefira entrar digitando ou pelo app oficial |
O único dado que denuncia o golpe do QR Code
É o nome de quem recebe, com o CNPJ ou o CPF, mostrado pelo app do banco antes da confirmação. O valor não serve de prova. No golpe das lojas virtuais, descoberto pela Kaspersky em 90 lojas brasileiras, o programa malicioso mantém o valor exato da compra e só troca o destino. Se você pagaria R$ 189,90 e a tela mostra R$ 189,90, tudo parece normal; o problema está na linha de cima.
Na prática, leve três segundos olhando a tela de confirmação:
- O nome bate com o lugar? Restaurante “Cantina da Praça” recebendo como pessoa física desconhecida é sinal de alerta.
- É um intermediador conhecido? Lojas grandes recebem por empresas de pagamento (Mercado Pago, PagSeguro, Stone e similares). Na dúvida, pergunte no caixa ou no atendimento oficial.
- O valor está certo? Ajuda, mas não basta sozinho.
Se qualquer coisa não bater, cancele e confirme os dados por outro canal: no balcão, no app da loja ou no telefone que está no site oficial, nunca no que veio na mensagem.
Golpe do QR Code no Pix: o que fazer se você já pagou
Aja rápido, porque o dinheiro costuma passar por várias contas em poucas horas. A ordem que a Febraban e o Procon-SP recomendam:
- Avise o seu banco imediatamente pelo app ou pela central, e peça a contestação pelo MED (Mecanismo Especial de Devolução do Pix).
- Registre um boletim de ocorrência, que pode ser feito pela internet na maioria dos estados.
- Guarde tudo: comprovante, foto da plaquinha ou do boleto, endereço do site e conversas.
- Avise o estabelecimento, para que ele retire o adesivo ou corrija o site antes que outras pessoas caiam.
O prazo para pedir o MED é de até 80 dias depois do Pix, mas a chance de recuperar cai a cada hora, porque a devolução depende de ainda haver saldo nas contas envolvidas. Desde 2026, a versão 2.0 do mecanismo consegue seguir o dinheiro por contas intermediárias. O banco não é obrigado a devolver em todos os casos: depende de ter havido falha no serviço. Um levantamento do Observatório Rosenbaum de Golpes e Fraudes Bancárias com 1.041 decisões do Tribunal de Justiça de São Paulo, sobre boletos falsos, encontrou reembolso total ou parcial em metade dos casos.
Tem loja virtual? O golpe também é problema seu
No golpe das lojas invadidas, o lojista é vítima duas vezes: perde a venda e ganha um cliente furioso. Segundo a Kaspersky, as 90 lojas tinham em comum o Magento sem atualização, e o pedido aparecia como “pendente” ou “abandonado” porque o pagamento nunca chegava. O cliente só descobria dias depois, ao reclamar da entrega. As recomendações para quem vende:
- mantenha a plataforma, os plugins e o PHP do servidor atualizados (nesta semana mesmo saiu uma falha grave no PHP que afeta lojas em WordPress e Magento);
- mostre na página de pagamento o nome e o CNPJ que o cliente vai ver no banco;
- crie um alerta para pedidos Pix que ficam pendentes por muito tempo;
- use autenticação em dois fatores no painel e confira se os arquivos do checkout mudaram sem explicação.
O olhar de QA
Mesa de bar, conta na mesa, cinco celulares apontados para a mesma plaquinha. Ninguém olha o nome do recebedor, todo mundo olha o valor. É exatamente o comportamento que o golpe explora: a gente confere o dado que conhece (quanto custou) e ignora o dado que prova (para quem vai). Em teste de software, chamamos isso de verificar o campo errado. O teste “passa”, e o defeito continua lá.
Também acho que parte da responsabilidade é de quem desenha os apps. O nome do recebedor costuma aparecer pequeno, entre outras informações, e o botão de confirmar aparece grande e colorido. Se o nome fosse o destaque da tela, muita gente pararia sozinha. Enquanto isso não muda, o hábito de três segundos é a melhor proteção que temos.
Perguntas frequentes
É seguro fazer Pix por QR Code?
Sim, desde que você confira o nome e o CNPJ ou CPF do recebedor na tela do banco antes de confirmar. O QR Code em si não é inseguro; o risco é ele ter sido trocado.
Tem como contestar um Pix feito por QR Code falso?
Tem. Peça ao seu banco a contestação pelo MED, em até 80 dias, e registre boletim de ocorrência. Quanto antes, maior a chance de ainda haver dinheiro para devolver.
Como saber se o QR Code é falso?
No papel, procure adesivos sobrepostos e bordas descolando. Em qualquer caso, o teste definitivo é o nome do recebedor no app do banco: se não for o da loja ou do intermediador de pagamento dela, não pague.
O banco devolve o dinheiro do golpe do QR Code?
Não automaticamente. A devolução pelo MED depende de saldo nas contas dos criminosos, e o reembolso pelo banco depende de ter havido falha no serviço, o que costuma ser decidido caso a caso.
Você costuma conferir o nome do recebedor antes de confirmar o Pix? Conta aqui nos comentários.
Resumo
- O golpe do QR Code troca o código verdadeiro por um falso em plaquinhas, boletos e sites.
- O valor pode estar certo; o que denuncia a fraude é o nome e o CNPJ ou CPF do recebedor.
- Se pagou, avise o banco na hora, peça o MED (até 80 dias) e registre B.O.
- Lojista: atualize a loja e o servidor, mostre nome e CNPJ no checkout e monitore Pix pendente.
Outros golpes com Pix que já explicamos: o do site falso do TSE e os que surgiram com o fim das bets proibidas. Se seus dados vazaram em algum lugar, o guia sobre o vazamento do Sírio-Libanês tem o passo a passo que vale para qualquer caso.
