Golpes com QR Code do Pix voltaram a ganhar atenção no Brasil após registros de adulteração de códigos em faturas, lojas virtuais e estabelecimentos físicos, desviando pagamentos para contas de fraudadores.
O Banco Central registrou aumento nas notificações relacionadas a esse tipo de fraude, que afeta tanto consumidores quanto pequenas e médias empresas. A modalidade explora a velocidade e a irreversibilidade das transferências via Pix para dificultar o ressarcimento das vítimas.
A seguir:
- Como o golpe do QR Code Pix funciona na prática
- Quais sinais indicam que um código foi adulterado
- O que fazer antes de confirmar qualquer pagamento via QR Code
A fraude funciona pela substituição de um QR Code legítimo por outro criado pelo criminoso. Quando a vítima escaneia o código adulterado, o aplicativo bancário direciona o valor para a conta do fraudador, e não para o destinatário original.
A empresa de segurança Kaspersky identificou duas variantes em circulação: uma voltada a clientes de serviços de streaming, por meio de faturas falsas, e outra dirigida a pequenas e médias empresas, geralmente em boletos ou cobranças eletrônicas com o código trocado.
Em lojas virtuais, uma variante específica altera tanto o QR Code quanto o campo de copia e cola do Pix na página de pagamento, tornando o desvio ainda mais difícil de perceber. Nesses casos, o valor e o nome do lojista exibidos na tela do app bancário não correspondem ao estabelecimento de origem da compra.
Como identificar um QR Code adulterado
Há sinais que ajudam a detectar um código falso antes de confirmar o pagamento. O mais comum é a ausência do nome do cliente na tela de confirmação: em vez do nome completo, aparece apenas um número de assinante desconhecido ou uma sequência genérica.
Códigos colados sobre outros, fixados em locais de difícil leitura ou que expiram de forma incomummente rápida também merecem atenção. QR Codes dinâmicos com prazo de validade muito curto podem indicar que foram gerados para uso único e descartados depois da transação.
O oposto também é sinal de problema: códigos estáticos reutilizados em contextos diferentes, como uma mesma imagem enviada por múltiplos canais, sugerem adulteração.
Estabelecimentos físicos que usam QR Codes impressos ou em suportes acessíveis ao público são alvos frequentes, pois qualquer pessoa pode colar uma etiqueta com código falso sobre o original sem chamar atenção.
O que verificar antes de confirmar o pagamento
A checagem correta acontece na tela de confirmação do próprio aplicativo bancário, antes de digitar a senha. Os dados a conferir são: nome completo ou razão social do destinatário, CPF ou CNPJ e o valor da transação. Se qualquer um desses campos divergir do esperado, a operação deve ser cancelada.
Para quem recebe pagamentos, a recomendação é inspecionar periodicamente os QR Codes expostos ao público, verificar se o código corresponde à conta correta e nunca aceitar comprovantes de pagamento como confirmação definitiva sem checar o extrato da conta. Comprovantes podem ser facilmente editados e não garantem que o valor foi creditado.
Em caso de dúvida sobre a origem de um QR Code recebido por mensagem, fatura ou e-mail, a orientação é não escanear, mas sim confirmar o código diretamente com a empresa ou pessoa que deveria tê-lo enviado, por um canal oficial já conhecido.
O Pix permite o agendamento e a contestação de cobranças, mas transferências já confirmadas são irreversíveis sem a cooperação do banco receptor.
Contexto: por que o Pix é alvo frequente
A popularidade do Pix o torna um vetor natural para fraudes financeiras. O sistema processa transferências em segundos, sem janela de estorno automático, o que beneficia quem precisa mover valores rapidamente antes de ser detectado.
Pequenas e médias empresas são alvos recorrentes porque muitas ainda usam QR Codes estáticos, mais vulneráveis à substituição do que os dinâmicos, que vinculam o código a uma transação específica e expiram após o uso.
Vazamentos de dados cadastrais, como os que já expuseram chaves Pix de correntistas no Brasil, facilitam a personalização dos golpes: o fraudador pode endereçar uma fatura falsa com o nome correto da vítima, aumentando a credibilidade da armadilha.
Perguntas frequentes
O banco reembolsa o valor se eu cair no golpe do QR Code?
Transferências Pix confirmadas são irreversíveis de forma automática. O ressarcimento depende de análise do banco e, em geral, exige registro de boletim de ocorrência. Quanto antes a vítima comunicar a instituição financeira, maiores as chances de bloqueio preventivo na conta receptora.
QR Code estático é mais perigoso do que o dinâmico?
Sim. O QR Code estático não expira e pode ser reutilizado em qualquer contexto, o que facilita a substituição por um código falso. O dinâmico é vinculado a uma cobrança específica e expira após a transação, reduzindo a janela de adulteração, mas não eliminando o risco completamente.
Como saber se o QR Code em um estabelecimento físico é original?
Verifique se o código está impresso diretamente no suporte do estabelecimento, sem sobreposição de etiquetas. Depois de escanear, confirme na tela do app se o nome exibido corresponde ao negócio. Em caso de divergência, peça ao atendente que gere um novo código pelo sistema.
