Golpe do QR Code: Febraban alerta para códigos falsos que desviam seu Pix em lojas, sites e boletos

O golpe do QR Code troca o código de pagamento verdadeiro por um falso e faz o seu Pix cair na conta de criminosos. O alerta é da Febraban, a Federação Brasileira de Bancos, que chama a fraude de quishing e avisa: ela acontece em bares, restaurantes, feiras, estacionamentos, lojas virtuais e até em boletos impressos. A proteção é simples e leva cinco segundos: antes de confirmar, confira no aplicativo do banco o nome de quem vai receber e o valor.

Abaixo eu explico como o golpe do QR Code funciona em cada situação, os sinais de que o código foi adulterado e o que fazer se você já pagou para a pessoa errada.

O que é o quishing, o golpe do QR Code

O nome junta “QR” com phishing, a “pescaria digital”, em que o criminoso usa uma isca para roubar dinheiro ou dados. No quishing, a isca é o próprio QR Code: o golpista adultera ou cria um código falso que, ao ser lido pelo celular, manda o pagamento para uma conta controlada pela quadrilha.

Segundo o comunicado da Febraban, publicado em 20 de outubro de 2026, a popularização do QR Code como forma rápida de pagar também atraiu os criminosos. E o golpe do QR Code pode acontecer tanto no mundo físico quanto na internet.

Como o QR Code falso aparece no dia a dia

Adesivo colado em cima do código da loja

Nos estabelecimentos físicos, a versão mais comum do golpe do QR Code é simples: os fraudadores colam um adesivo com um QR Code falso por cima do código legítimo. Isso pode acontecer na mesa do restaurante, no balcão do bar, na barraca da feira ou na cancela do estacionamento. Você acha que está pagando a loja, mas o dinheiro vai para o criminoso.

Loja virtual adulterada ou site falso

Na internet, o golpe do QR Code pode explorar falhas em plataformas de comércio eletrônico para substituir o código ou os dados de pagamento mostrados na tela. A página parece normal, o valor está certo, mas o Pix vai para outro recebedor. O golpe também aparece em páginas falsas que imitam sites conhecidos, divulgadas em anúncios, redes sociais e mensagens.

Boleto impresso com QR Code trocado

A Febraban também alerta para boletos impressos que trazem QR Code. O criminoso pode adulterar o papel e trocar o código verdadeiro por um QR Code falso. Por isso, mesmo quando o boleto parece legítimo, a regra é a mesma: conferir no app do banco quem vai receber o dinheiro.

Como se proteger do golpe do QR Code

Estas são as orientações oficiais da Febraban contra o golpe do QR Code, explicadas de um jeito prático:

1. Confira o recebedor antes de pagar. Depois de ler o código, o app do banco mostra o nome (ou a razão social) de quem vai receber e o valor. Se o nome não for o da loja ou da pessoa que você está pagando, cancele.
2. Olhe o código antes de apontar a câmera. Adesivo sobreposto, borda descolada, impressão diferente do resto da placa ou um código colado em cima de outro são sinais de adulteração.
3. Compre só em sites oficiais. Digite o endereço da loja no navegador e confira se ele está certo, em vez de começar a compra por um link recebido em mensagem, e-mail ou rede social.
4. Desconfie de pressa e de oferta boa demais. Promoções muito vantajosas e pedidos de pagamento imediato são táticas clássicas de golpe.
5. Se os dados não batem, não conclua. Na dúvida, peça ao atendente a chave Pix oficial da loja ou pague de outra forma.

Conferir o recebedor do Pix é a dica mais importante, porque funciona contra qualquer variação do golpe do QR Code. “Antes de concluir qualquer pagamento por QR Code, é fundamental conferir os dados exibidos pelo aplicativo da instituição financeira, principalmente o nome do recebedor e o valor da transação”, afirma Raphael Mielle, diretor de Serviços e Segurança da Febraban, no comunicado oficial da federação.

Para as compras on-line, também ajuda deixar o navegador mais atento a páginas falsas. No guia sobre a proteção reforçada do Chrome contra golpes, eu mostro como ativar o alerta de site suspeito no computador e no celular.

Como conferir o recebedor do Pix na tela do banco

Esse é o passo que mais evita o golpe do QR Code. O caminho muda um pouco de banco para banco, mas a lógica é sempre esta:

1. Abra o app do seu banco e entre na área Pix.
2. Toque em Ler QR Code (ou “Pagar com QR Code”) e aponte a câmera para o código.
3. Antes de digitar a senha, leia a tela de confirmação: nome do recebedor, CPF ou CNPJ parcialmente mostrado, instituição de destino e valor.
4. Compare com o nome do estabelecimento ou da pessoa. Só confirme se tudo bater.

Não confie só no valor: no golpe do QR Code, o valor costuma ser exatamente o da sua compra, justamente para não levantar suspeita. O que denuncia a fraude é o nome do recebedor.

Paguei um QR Code falso: o que fazer agora

Se você caiu no golpe do QR Code e percebeu que o Pix foi para a conta errada, aja rápido:

1. Fale com o seu banco imediatamente pelo app ou pela central oficial e conte que foi vítima de golpe.
2. Peça a contestação pelo MED, o Mecanismo Especial de Devolução do Banco Central, que permite tentar recuperar o dinheiro de um Pix feito em golpe. Quanto antes você pedir, maior a chance de ainda haver saldo na conta do golpista.
3. Guarde o comprovante e o protocolo do atendimento.
4. Registre um boletim de ocorrência, que pode ser feito pela internet na maioria dos estados.
5. Avise o estabelecimento, para que ele retire o adesivo falso e alerte outros clientes.

Vale saber que a devolução não é automática nem garantida. Ela depende das circunstâncias da fraude e do saldo encontrado na conta de destino, por isso a rapidez faz diferença.

Por que o golpe do QR Code está crescendo

O QR Code virou o jeito mais rápido de pagar com Pix, e é exatamente essa rapidez que o criminoso explora: a pessoa aponta a câmera, vê o valor certo e confirma sem olhar o resto. O golpe do QR Code não depende de vírus nem de invadir o celular, só de um adesivo ou de uma página adulterada, o que o torna barato e fácil de espalhar.

Ele segue a mesma receita de outras fraudes que eu já mostrei aqui, como o golpe da TIM do CPF bloqueado e o golpe do título de eleitor, que cobrava Pix por um suposto título irregular: pressa, aparência oficial e confiança de que ninguém vai conferir os detalhes.

Também vale reforçar a segurança do próprio celular, já que é nele que ficam os apps de banco. No guia como remover vírus do celular Android e iPhone, eu explico como deixar o aparelho limpo e protegido.

Conclusão

O golpe do QR Code é perigoso porque parece um pagamento comum, mas a defesa é igualmente simples: olhar o código antes de ler e conferir o nome do recebedor antes de confirmar. A minha recomendação é transformar isso em hábito em todo Pix por QR Code, seja no restaurante, na feira ou na loja virtual. E se algo der errado, ligue para o banco na hora e peça o MED. Compartilhe este alerta com a família, principalmente com quem usa Pix todo dia.

Leia também

• 3 VPNs grátis que funcionam de verdade e como escolher uma VPN segura
• Os 16 melhores apps para gerenciar senhas

Perguntas frequentes

O banco devolve o dinheiro de um Pix feito em golpe do QR Code?

Não automaticamente. Você pode pedir a contestação pelo MED, o Mecanismo Especial de Devolução, mas o ressarcimento depende das circunstâncias e do saldo na conta do golpista.

Ler um QR Code falso pode instalar vírus no celular?

No golpe alertado pela Febraban, o objetivo é desviar o pagamento, não instalar vírus. Mesmo assim, nunca instale apps nem digite senhas em páginas abertas por um QR Code desconhecido.

Como saber se o QR Code da maquininha é verdadeiro?

Desconfie de adesivos sobrepostos ou descolados e, principalmente, confira no app do banco se o nome do recebedor é o do estabelecimento antes de confirmar.

O golpe do QR Code também acontece em boletos?

Sim. Segundo a Febraban, criminosos podem adulterar boletos impressos e trocar o QR Code. Confira sempre o recebedor mostrado pelo app antes de pagar.

Pagar com Pix Copia e Cola é mais seguro?

O risco é parecido, porque o código também pode ser trocado em sites adulterados. A proteção é a mesma: conferir o nome do recebedor e o valor antes de confirmar.

Fontes:

• Febraban
• Jornal do Comércio
• ES Hoje (Folhapress)