Um QR Code agiliza o pagamento, mas também pode esconder um destino diferente daquele que você imagina. O golpe costuma funcionar porque a imagem parece familiar: basta apontar a câmera, conferir o valor e tocar em confirmar. Quando a pressa entra no processo, a etapa mais importante — verificar quem realmente vai receber — acaba sendo ignorada.
A boa notícia é que você não precisa entender de tecnologia para reduzir bastante o risco. Uma sequência curta de conferências, feita antes de autorizar o Pix, ajuda a identificar sinais de fraude tanto em códigos impressos quanto nos enviados por mensagem.
Como funciona o golpe do QR Code falso
O criminoso cria um QR Code que direciona o dinheiro para uma conta sob seu controle. Esse código pode aparecer em uma cobrança falsa, em uma mensagem que imita uma empresa, em uma página clonada ou até em um adesivo colado sobre o código verdadeiro de um estabelecimento.
Em locais físicos, o adesivo é uma armadilha especialmente traiçoeira. A pessoa vê a placa de pagamento no caixa ou na mesa, presume que ela pertence ao local e faz a leitura sem perguntar. No ambiente digital, a aparência de uma marca conhecida, um boleto ou uma suposta promoção cumpre o mesmo papel: transmitir confiança antes que os dados sejam conferidos.
O que verificar antes de pagar
Depois de escanear o código, pare por alguns segundos na tela de confirmação. É ali que o aplicativo do banco mostra as informações que realmente importam.
1. Confira o nome do recebedor
Compare o nome exibido pelo banco com o nome da pessoa ou empresa que deveria receber o pagamento. Se você está pagando uma loja e aparece uma pessoa desconhecida, interrompa a operação e confirme a cobrança por um canal oficial. Pequenas diferenças podem ocorrer quando a empresa usa uma razão social diferente do nome da fachada, mas isso precisa ser explicado de forma clara pelo próprio estabelecimento.
2. Observe o CPF ou CNPJ mascarado e a instituição
O aplicativo costuma mostrar parte do CPF ou do CNPJ, além da instituição financeira do recebedor. Esses dados ajudam a perceber incoerências. Não confirme só porque o valor está certo: um golpista pode gerar um código com o mesmo preço da compra.
3. Leia o valor e a descrição da cobrança
Alguns códigos já trazem valor e identificação da transação; outros permitem digitação manual. Confira se não há centavos a mais, valor multiplicado ou descrição incompatível. Se o código deveria corresponder a uma cobrança específica, a ausência de qualquer referência merece atenção.
4. Use o aplicativo do banco
Faça a leitura dentro do ambiente Pix do aplicativo oficial da sua instituição. Evite instalar leitores indicados por links recebidos em mensagens. Também não digite senha bancária em páginas abertas depois de escanear um código. A autorização deve acontecer no aplicativo que você já utiliza.
5. Desconfie de urgência e pressão
Frases como “pague agora para não perder”, “última oportunidade” ou “a conta será bloqueada em minutos” tentam impedir a conferência. Uma cobrança legítima pode ter prazo, mas não precisa ameaçar o cliente para que ele ignore os dados do recebedor.
QR Code impresso também pode ser adulterado
Em restaurantes, estacionamentos, eventos e pontos de venda, observe se há outro adesivo sobre a placa original, bordas levantadas, impressão com cor ou resolução diferente e sinais de cola. Se houver dúvida, peça ao atendente outro meio de cobrança e mostre o local onde o código está fixado.
A posição do código não prova que ele é legítimo. Mesmo dentro de um estabelecimento, a conferência do nome do recebedor continua sendo necessária. Se o funcionário disser que o pagamento vai para outra pessoa ou empresa, peça uma explicação antes de prosseguir.
QR Code estático e dinâmico: qual é mais seguro?
O código estático pode ser reutilizado e costuma permitir que o pagador informe o valor. O dinâmico é criado para uma cobrança e pode trazer valor, vencimento e identificador próprios. Essa diferença ajuda na organização, mas nenhum formato dispensa a verificação da tela final. Um código dinâmico enviado por um canal falso ainda pode apontar para um golpista.
Sinais de que a cobrança merece ser interrompida
- o nome do recebedor não tem relação clara com a compra;
- o código chegou de um número novo, mesmo que use foto conhecida;
- a pessoa pede que você ignore um alerta do banco;
- há pressão para não ligar à empresa ou ao familiar envolvido;
- o link usa endereço estranho, letras trocadas ou domínio recém-criado;
- a cobrança exige instalar aplicativo ou fornecer senha;
- o valor ou a descrição muda na tela de confirmação.
Um sinal isolado pode ter explicação. A combinação de dois ou mais, porém, é motivo suficiente para pausar e buscar o canal oficial da empresa sem usar os contatos enviados na própria mensagem suspeita.
O que fazer se você pagou um QR Code falso
Agir rápido aumenta a possibilidade de ainda haver recursos disponíveis para bloqueio. Entre no aplicativo da instituição financeira e conteste a transação na área do Pix. O Banco Central informa que o Mecanismo Especial de Devolução, o MED, é destinado a casos de fraude, golpe ou crime. O pedido pode ser feito em até 80 dias, mas a recomendação prática é comunicar o banco imediatamente.
- Conteste o Pix no aplicativo do banco: procure a opção relacionada a golpe ou fraude e solicite a abertura do MED.
- Guarde as provas: salve o comprovante, a imagem do QR Code, mensagens, números, links, horários e identificação do perfil.
- Registre um boletim de ocorrência: apresente as informações reunidas e descreva como o código foi recebido.
- Avise a empresa ou o local: se o código estava em uma placa ou página clonada, o responsável precisa remover o material e alertar outras pessoas.
- Proteja suas contas: se você instalou aplicativo ou informou senhas, troque as credenciais em um aparelho seguro e fale com o banco.
O MED não garante a devolução. O resultado depende da análise das instituições e da existência de saldo nas contas envolvidas. Ele também não se aplica a simples desacordo comercial nem a Pix enviado por engano.
Uma regra simples para não cair no golpe
Trate a tela de confirmação como parte do pagamento, e não como uma formalidade. O QR Code serve para preencher os dados; quem autoriza a transferência é você. Se o nome não fizer sentido, se houver pressão ou se alguém pedir para contornar alertas, pare. Confirmar por um canal oficial leva poucos minutos e pode evitar um prejuízo difícil de recuperar.