Golpe do QR Code no Pix: como se proteger

Aviso: este conteúdo é informativo e não é recomendação de investimento. Faça sua própria pesquisa antes de colocar dinheiro em qualquer coisa.

Você aponta a câmera pro QR Code do bar, digita a senha e pronto, conta paga. Só que o dinheiro foi parar na conta de um golpista, porque alguém colou um adesivo por cima do código verdadeiro. É o golpe do QR Code, e a Febraban, a federação dos bancos, soltou um alerta sobre ele nesta quarta (21).

Felizmente a defesa leva uns três segundos e você já tem tudo o que precisa no celular. Com a Black Friday chegando e muita gente pagando por Pix em site que nunca usou (motivo a mais pra montar o histórico de preço desde já), este é um bom momento pra criar o hábito.

Vou mostrar como o golpe funciona, o que conferir antes de pagar e o que fazer se você já caiu.

Como funciona o golpe do QR Code

O nome técnico é quishing, uma mistura de QR com phishing (golpe que te engana pra entregar dinheiro ou dados). Segundo o g1, o jeito mais comum aparece em bar, restaurante, feira e estacionamento, onde o golpista cola um QR falso sobre o verdadeiro e você paga achando que o dinheiro vai pro caixa.

Na internet a lógica é parecida. O criminoso troca o QR de pagamento num site sem mudar nada visível na página, ou monta um site inteiro imitando uma loja conhecida. E tem ainda o boleto impresso alterado, que parece certinho mas traz um QR Code que leva o pagamento pra outra conta.

A Folha também registrou o alerta, com o mesmo recado de que o golpe vale tanto pra Pix quanto pra boleto.

O teste de 3 segundos antes de pagar

Depois de ler o QR, o app do banco sempre mostra uma tela de confirmação antes de pedir a senha, e é ali que o golpe se entrega. Raphael Mielle, diretor de segurança da Febraban, disse que conferir os dados de quem vai receber “pode revelar uma adulteração antes que o dinheiro seja transferido”.

Nessa tela, bastam duas olhadas:

1. No nome do recebedor. Se você pagou o “Bar do Zé” e apareceu “Fulano da Silva” ou uma empresa que não tem nada a ver, cancele.
2. No valor. Se a conta era R$ 87 e o app mostra outro número, cancele também.

Só tome cuidado pra não sair desconfiando de todo mundo, porque nome de pessoa física nem sempre é golpe e muito ambulante e pequeno negócio recebe no CPF. Nesses casos, pergunte em voz alta “o Pix cai no nome de quem?”, e quem é honesto responde na hora.

Outros cuidados que ajudam

Antes mesmo de escanear, vale dar uma olhada no código. Adesivo torto, com borda levantada ou colado sobre outro já é sinal de alerta. Nas compras online, digite o endereço da loja em vez de clicar em link de mensagem, e-mail ou anúncio em rede social, e se bater dúvida sobre a página, prefira o copia e cola enviado pelo app oficial da loja.

Com boleto, o que vale é o nome que aparece na tela do banco, mesmo que o papel pareça legítimo. E desconfie de pressa, porque oferta boa demais com “pague agora senão perde” é o roteiro clássico desse tipo de golpe.

Caiu no golpe? Peça o MED em até 80 dias

O MED (Mecanismo Especial de Devolução) é a ferramenta do Banco Central pra tentar recuperar Pix enviado em golpe. Segundo a Agência Brasil, quem fez o Pix e foi vítima de fraude tem até 80 dias, contados da transferência, pra pedir. O caminho é este:

1. Fale com o seu banco na hora, pelo app ou pelos canais oficiais, diga que foi golpe e peça a abertura do MED. Quanto antes, maior a chance de ainda ter saldo na conta do golpista.
2. Junte as provas: comprovante do Pix, prints de conversa, foto do adesivo ou do boleto, link do site e dados da conta que recebeu.
3. Registre boletim de ocorrência, que na maioria dos estados dá pra fazer pela internet.
4. Acompanhe o prazo, lembrando que no fluxo de fraude os bancos têm até sete dias pra analisar se há indício de golpe.

Desde fevereiro de 2026 existe o MED 2.0, que segue o caminho do dinheiro mesmo quando o golpista repassa pra outras contas, enquanto antes a recuperação ficava quase só na primeira conta. O Banco Central adiou pra 26 de outubro uma etapa extra de comunicação entre os bancos, mas diz que isso não muda o rastreio que já funciona.

O lado chato é que a devolução não é garantida. Se o dinheiro já foi sacado ou espalhado e não sobrou saldo, pode voltar só uma parte ou nada. O MED também não serve pra arrependimento de compra, erro de digitação na chave ou briga comercial sem fraude.

Se você vende por Pix, atenção a outro golpe

Existe uma variação que mira o comerciante. O golpista paga, diz que mandou “por engano” e pede a devolução por um Pix novo, pra outra chave, e depois aciona o MED dizendo que o primeiro pagamento foi fraude, de modo que o vendedor perde duas vezes. Pra evitar isso, devolva sempre pelo botão de devolução da própria transação no app, nunca com um Pix novo pra chave que a pessoa passou. E se mesmo assim sofrer uma devolução indevida, você também tem 80 dias pra contestar.

Minha opinião

O golpe do QR Code funciona porque a gente paga no automático, e a tela de confirmação existe justamente pra quebrar esse automático, só que quase ninguém lê. Faz um teste hoje: no próximo Pix por QR, lê o nome em voz alta antes de digitar a senha. Em uma semana isso vira reflexo.

E já que o assunto é não perder dinheiro em compra, o passo seguinte é decidir a forma de pagar, então veja quando compensa o parcelado sem juros ou à vista com desconto. Você já viu QR Code adulterado por aí?

Imagem: tela da área Pix com a opção Ler QR Code, foto de Bruno Peres, via Agência Brasil (CC BY 3.0 BR)

Recomendados pra você

DicaComo ganhar dinheiro gravando vídeos POV pra IAApps como Hub Capture, Claru e Crowtado pagam pra você gravar tarefas de casa com o celular na testa. No Brasil o valor vai de uns R$ 15 a R$ 35 por hora aprovada, mas reprovação, celular exigido e saque travado são o preço escondido.DicaHub Capture e Crowtado: como cadastrar e sacarPasso a passo da Hub (Hub Capture e Minute) e da Crowtado: cadastro, verificação de identidade, celular aceito, quanto paga e como o dinheiro chega no Brasil, por Pix na Hub e a partir de US$ 10 na Crowtado.DicaPendrive falso: como testar a capacidade realUm especialista em segurança comprou 12 pendrives baratos de 1 e 2 TB e todos eram falsos; um de "2 TB" tinha 62 GB. Como o golpe funciona, os programas grátis que mostram a capacidade real (ValiDrive, H2testw e f3) e o que fazer se o seu for um deles.DicaJogos NFT que ainda pagam: 4 pra começar grátisUpland, RollerCoin, Limercoin e Ever Magic dão pra começar sem gastar. Quanto pagam de verdade, saque mínimo, riscos e o que é RMT.