Golpe do QR code falso: como identificar antes de pagar e o que fazer depois

Para identificar o golpe do QR code falso, confira três pontos antes de confirmar qualquer pagamento: o nome do recebedor na tela deve bater com o estabelecimento, o valor deve ser o combinado e o QR físico não pode ter adesivo sobreposto. Esses três filtros, feitos em ordem, cobrem a grande maioria dos casos de QR code Pix adulterado.

Ao longo deste artigo você vai encontrar como o golpe funciona por dentro, os locais onde ele mais aparece, o protocolo de três conferências com a ordem certa de aplicação, o que fazer nos primeiros minutos se já pagou por engano, como confirmar que o dinheiro foi para o lugar certo e, ainda, um guia rápido para quem tem comércio e expõe QR code no balcão.

Como funciona o golpe do QR code falso

O mecanismo é direto: o QR code original de um estabelecimento é substituído ou coberto por outro que aponta para uma conta diferente. Quando você escaneia o código falso, o app de pagamento lê as informações do golpista e exibe os dados dele na tela de confirmação, não os do negócio. O dinheiro segue para essa conta sem que o caixa ou o atendente perceba, porque do lado deles nenhum aviso aparece.

O que torna o golpe do QR code tão eficaz é uma característica do próprio código: ao contrário de um link visível, o QR não mostra o destino antes de ser escaneado. Você só descobre para onde vai o dinheiro depois que o app já leu o conteúdo, o que reduz o alerta natural que teria diante de uma URL suspeita.

Existe também uma variante chamada quishing, em que o QR falso não desvia um pagamento, mas leva a um site criado para capturar dados pessoais ou bancários. O foco deste artigo é no QR de pagamento Pix, mas vale saber que o quishing segue a mesma lógica de substituição de código.

Onde o QR code falso costuma aparecer

O golpe não se limita a um único ambiente. Em qualquer lugar onde o QR fique exposto sem vigilância, há risco de troca ou sobreposição.

Os locais de maior incidência incluem:

• Mesas e balcões de restaurantes, onde o QR fica sobre a mesa sem supervisão constante
• Totens de estacionamento, com acesso fácil e pouca movimentação de funcionários
• Caixas de farmácias e padarias, onde o suporte do QR costuma ser um simples impresso
• Cardápios com QR code impresso, que podem receber um adesivo por cima sem que ninguém note
• Boletos com QR code, em que o valor ou o destinatário pode estar adulterado antes de chegar até você
• E-mails e mensagens com QR para “confirmar entrega” ou “evitar bloqueio de conta”, que chegam sem suporte físico para inspecionar

Em todos esses cenários, o ponto de defesa mais confiável é o mesmo: a tela de confirmação do app antes de apertar pagar.

Como identificar o golpe do QR code falso em três conferências

Antes de confirmar qualquer pagamento por QR code, há três conferências que você pode fazer em segundos, e a ordem importa porque cada uma filtra um tipo diferente de adulteração.

Conferência 1: o nome do recebedor. Na tela de confirmação, verifique se o nome exibido corresponde ao estabelecimento onde você está. Se o QR for de um restaurante ou farmácia, o nome deve ser o da empresa ou do CNPJ cadastrado, não de uma pessoa física sem relação com o negócio.

Conferência 2: o valor. Confira se o valor que aparece na tela é o mesmo que foi combinado com o atendente. Em golpes mais elaborados, o código falso pode trazer um valor diferente do esperado.

Conferência 3: a origem física do QR. Antes de escanear, observe o suporte: há bordas levantadas, papel diferente do restante do material ou um código que parece colado sobre outro? Esses são sinais de adesivo de QR code trocado.

O nome na tela é a prova mais forte

O Banco Central do Brasil exige que o app de pagamento exiba o nome do recebedor antes de o usuário confirmar qualquer transação Pix. Esse dado vem do cadastro da chave Pix e não pode ser mascarado pelo código em si. Por isso, se o nome exibido for de uma pessoa física quando o estabelecimento deveria ter CNPJ, ou se o nome não tiver qualquer relação com o negócio, o sinal de alerta é claro.

A conferência do nome é mais confiável do que a inspeção física do QR. Um adesivo bem aplicado pode enganar o olhar, mas o nome do recebedor na tela nunca mente se você souber o que procurar. Essa é a razão pela qual essa conferência vem primeiro na ordem do protocolo.

Sinais físicos de adesivo trocado

Quando o QR está impresso em papel ou plástico, vale observar alguns detalhes antes de escanear. Bordas levantadas nas extremidades do código, papel com textura ou cor diferente do suporte ao redor, alinhamento ligeiramente torto ou a sensação de que há uma camada extra sobre o material original são todos indicativos de sobreposição.

Se perceber qualquer um desses sinais, peça ao atendente para confirmar o QR correto antes de prosseguir. A inspeção física leva menos de dez segundos e pode evitar um pagamento desviado.

QR code que chega por e-mail ou mensagem: cuidados extras

Quando o QR chega por e-mail ou mensagem, não há suporte físico para inspecionar. O único filtro disponível passa a ser a tela de confirmação do app e a origem do remetente. Se o nome do recebedor na tela não corresponder ao serviço esperado, interrompa o pagamento.

A forma mais segura de agir nesses casos é gerar o QR pelo canal oficial do serviço, como o app do banco ou o site da empresa, em vez de usar o código recebido na mensagem. Empresas sérias não pedem que você escaneie um QR para atualizar dados cadastrais ou evitar o bloqueio de uma conta. Esse tipo de pedido é, por si só, um sinal de fraude.

Paguei um QR code falso: o que fazer nos primeiros minutos

Se o pagamento já foi feito, o tempo é o fator mais importante. Siga os passos abaixo na ordem indicada:

1. Entre em contato com seu banco pelo canal oficial (app ou número no verso do cartão) e informe a transação como suspeita. Não use links ou números recebidos por mensagem para fazer esse contato.
2. Solicite a abertura do MED (Mecanismo Especial de Devolução), criado pelo Banco Central do Brasil para que as instituições financeiras tentem reverter transações Pix fraudulentas. A devolução não é garantida: ela depende de saldo disponível na conta de destino e do tempo entre o pagamento e o acionamento. Quanto mais rápido o contato, maiores as chances de sucesso. Se precisar verificar sua identidade no processo, veja como verificar identidade no app para não perder tempo nessa etapa.
3. Registre um boletim de ocorrência pela Delegacia Virtual do seu estado, sem precisar sair de casa. O registro fortalece o processo de devolução e é exigido por muitas instituições para dar andamento ao MED.
4. Guarde todos os comprovantes: print da tela de confirmação com o nome do recebedor, dados da transação e horário exato do pagamento. Esses registros são a base de qualquer solicitação de ressarcimento.

Como confirmar que o pagamento foi para o lugar certo

Mesmo após pagar, você pode checar se o dinheiro foi para o destino correto. Abra o comprovante imediatamente no app e confira três pontos: o nome do recebedor deve corresponder ao estabelecimento, o valor deve ser o combinado e a chave Pix ou o CNPJ exibido deve ter relação com o negócio.

Se estiver em um estabelecimento físico, compare o nome do comprovante com a identificação visível no local, como a placa, o cardápio ou a nota fiscal. Qualquer divergência é motivo para questionar o pagamento antes de sair.

Apps com histórico de transações detalhado facilitam essa conferência. Por exemplo, o Mercado Pago exibe o nome completo do recebedor no comprovante, o que permite comparar com o nome registrado em pagamentos anteriores no mesmo estabelecimento. Essa camada de verificação ajuda a identificar uma troca com mais agilidade.

Para quem tem comércio: como proteger o QR code da loja

Quem expõe QR code no balcão ou na mesa também precisa de um protocolo de verificação. As ações abaixo reduzem o risco de uma troca passar despercebida:

• Fotografe o QR oficial ao instalar e confira com regularidade se o código no suporte bate com a foto salva
• Use suporte fixo, laminado ou com proteção que dificulte a sobreposição de um adesivo por cima
• Oriente a equipe a conferir o nome do recebedor nas primeiras transações do dia, para detectar qualquer troca antes que o prejuízo se acumule

As mesmas conferências que protegem quem paga também ajudam quem recebe a identificar uma adulteração a tempo.

Perguntas frequentes sobre o golpe do QR code falso

O banco devolve o dinheiro de um QR code falso?

O MED (Mecanismo Especial de Devolução) do Banco Central do Brasil permite que o banco tente reverter a transação Pix fraudulenta. A devolução não é garantida: ela depende de saldo na conta de destino e do tempo entre o pagamento e o acionamento. O boletim de ocorrência fortalece o processo e costuma ser exigido pelas instituições.

A câmera do celular avisa se o QR code é falso?

A câmera nativa não detecta fraude, ela apenas lê o conteúdo do código. Alguns leitores mostram a URL de destino antes de abrir, o que pode ajudar a identificar links suspeitos. Para QR de pagamento Pix, a conferência decisiva acontece na tela de confirmação do app, não no momento do escaneamento.

QR code recebido por e-mail é seguro?

Não de forma automática. QR por e-mail é um vetor comum de quishing e de desvio de pagamentos. O recomendado é gerar o QR pelo canal oficial do serviço em vez de usar o recebido na mensagem. Se o código levar a uma página que peça dados pessoais ou bancários, interrompa o acesso.

Como saber se o QR code Pix é de pessoa física ou CNPJ?

A tela de confirmação do app exibe o nome e o tipo de chave do recebedor antes de confirmar o pagamento. O Banco Central do Brasil exige essa exibição em todas as transações Pix. Se o QR for de um estabelecimento comercial e o nome exibido for de uma pessoa física sem relação com o negócio, trate como sinal de alerta e não conclua o pagamento.

O hábito de conferir o nome do recebedor antes de confirmar é o que desarma o QR trocado na maioria dos casos. Para quem quer uma camada extra de segurança, usar uma conta digital com Pix que registre o histórico de transações com nome completo do recebedor permite comparar pagamentos no mesmo estabelecimento ao longo do tempo. E se precisar agir rápido em caso de perda do celular, veja como bloquear a conta para não deixar transações em aberto.