Resposta rápida: o golpe do QR Code (apelidado de “quishing”) esconde um link ou uma cobrança falsa dentro do quadradinho. Você escaneia achando que é o pagamento certo, e o dinheiro cai na conta do golpista. A defesa cabe numa frase: antes de confirmar qualquer Pix por QR Code, leia o nome de quem vai receber. Se não for quem você espera, cancele na hora.
O QR Code virou o jeito mais rápido de pagar no Brasil. E foi exatamente por isso que os golpistas correram atrás dele. O truque é esperto porque o código não mostra pra onde vai antes de você apontar a câmera. Diferente de um link escrito, que dá pra desconfiar só de olhar, o QR esconde o destino até o último segundo.
A boa notícia: os golpes mais comuns têm sinais claros, e dá pra se proteger sem instalar nada. Vamos aos três formatos que mais fazem vítima e ao passo a passo pra não cair.
Como o golpe do QR Code funciona
São três variações principais, e todas terminam com você escaneando um código que não é o que parece.
- Adesivo falso por cima do verdadeiro. O golpista imprime um QR Code dele e cola em cima do original: no caixa da padaria, no totem de estacionamento, na plaquinha da mesa do restaurante, no cartaz de uma vaquinha. Você escaneia sem perceber a troca e paga pra ele.
- Cobrança falsa no WhatsApp ou e-mail. Chega uma mensagem com cara de loja, transportadora ou até de um conhecido, com um QR Code de Pix pra “acertar uma pendência” ou “liberar a entrega”. O valor até parece certo, mas o recebedor é o criminoso.
- Encomenda que você não pediu. Um pacote surpresa chega na sua casa com um QR Code e a instrução de escanear “pra descobrir quem enviou” ou “confirmar o recebimento”. O código leva a uma página falsa que pede seus dados ou uma cobrança.
Repare no que os três têm em comum: pressa e um QR Code que você não gerou. Sempre que aparecer essa dupla, desconfie.
A regra de ouro do Pix por QR Code
Essa é a parte que salva a maioria das pessoas, e quase ninguém usa. Todo pagamento por QR Code do Pix mostra o nome de quem vai receber antes de você confirmar. O app do banco exibe o nome (ou parte do CPF/CNPJ) do recebedor e o valor numa tela de conferência.
Então a checagem é simples: leu o QR, olhou a tela, confira duas coisas.
- O nome do recebedor. É a loja ou a pessoa que você espera? Se aparece um nome estranho, um CPF de alguém que você não conhece, cancele.
- O valor. Bate com o que combinaram? QR de Pix pode vir com valor fixo. Se veio diferente, pare.
Golpista nenhum consegue escrever o nome da padaria na sua tela de confirmação. O nome que aparece ali é o da conta real que vai receber. Use isso a seu favor toda vez.
Como escanear um QR Code com segurança
Quando o QR Code leva a um site (e não a um Pix), o cuidado é outro: olhar o endereço antes de abrir.
- Use a câmera do próprio celular. No Android e no iPhone, a câmera nativa mostra o endereço (a URL) na parte de baixo da tela antes de você tocar pra abrir. Leia esse endereço com calma. É a sua chance de desistir.
- Fuja de endereço sem o “s” no https. Um site que começa com “http://” sem o “s”, em 2026, é um sinal forte de fraude. Site de banco e de loja séria usa “https”.
- Desconfie de domínio estranho. Endereços encurtados ou terminados em .xyz, .top, .tk são muito usados em golpe. O site do seu banco é o endereço oficial dele, não uma variação esquisita.
- Nunca digite senha ou dados do cartão numa página aberta por QR Code. Se a página pede login do banco, CPF, código do cartão ou uma “taxa pra liberar”, feche. Banco não cobra taxa por QR Code de adesivo.
Vale reforçar um mito: só escanear um QR Code, por si só, não instala vírus no celular. O perigo mora no que vem depois do escaneamento: o site falso que pede seus dados ou a cobrança fraudulenta. O quadradinho é só a porta.
Sinais de que o QR Code foi adulterado
No mundo físico, o golpe do adesivo deixa rastro. Antes de escanear um código em local público, dê uma olhada rápida:
- Um adesivo descolando, torto ou por cima de outro QR Code.
- Dois QR Codes juntos, um cobrindo parte do outro. O de cima costuma ser o falso.
- Um código impresso em papel comum, colado meio de qualquer jeito, num lugar onde deveria ter algo mais oficial.
Na dúvida no caixa, peça a chave Pix por escrito ou pague pela maquininha. Dois segundos de conferência valem mais que o prejuízo.
Esse é só um dos muitos truques que rondam o Pix e o WhatsApp. Se quiser o panorama completo, veja também os golpes digitais mais comuns no Brasil e como evitar cada um, e reforce a porta de entrada das suas contas ativando a verificação em duas etapas em todos os seus apps.
Se você já caiu no golpe
Agir rápido aumenta muito a chance de recuperar o dinheiro. Na ordem:
- Avise o banco na hora. Ligue ou use o app pra reportar a fraude assim que perceber.
- Peça o MED. O Pix tem o Mecanismo Especial de Devolução, criado justamente para golpes e fraudes. Você tem até 80 dias depois da transação pra abrir a contestação pelo seu banco. Se o dinheiro ainda estiver na conta do golpista, dá pra bloquear e devolver.
- Registre um boletim de ocorrência. Muitos estados têm delegacia eletrônica. O B.O. ajuda no processo com o banco.
- Guarde as provas. Print da conversa, do QR, do comprovante. Serve pra contestação e pra denúncia.
Um cuidado que anda junto: golpista adora mandar comprovante falso pra te apressar. Comprovante não é dinheiro. Só considere pago quando o valor entrar de fato na sua conta. É o mesmo raciocínio do golpe do comprovante falso em vendas de OLX e Mercado Livre.
Perguntas frequentes
Dá pra recuperar o dinheiro de um Pix aplicado por golpe?
Dá, em muitos casos. O Pix tem o Mecanismo Especial de Devolução (MED). Você aciona pelo seu banco em até 80 dias após a transação. Se o valor ainda estiver na conta do golpista, o banco pode bloquear e devolver. Por isso a pressa importa: quanto antes você reportar, maior a chance.
Só de escanear um QR Code meu celular pega vírus?
Não. O escaneamento em si não instala nada. O risco vem do que aparece depois: um site falso pedindo seus dados ou uma cobrança fraudulenta. Se você escanear e não digitar nada nem pagar nada, não acontece mal nenhum. O cuidado é sempre com o passo seguinte.
Como saber se o QR Code do caixa é o verdadeiro?
Olhe se não é um adesivo colado por cima de outro, torto ou descolando. E, no momento de pagar, confira o nome do recebedor na tela do app: tem que ser o nome do estabelecimento. Na dúvida, peça a chave Pix por escrito ou use a maquininha.
É seguro escanear o QR Code de um boleto ou conta de consumo?
Sim, quando vem do canal oficial (o app da empresa, a fatura que você já esperava). Desconfie de QR Code que chega de surpresa por WhatsApp ou e-mail cobrando algo, mesmo que o valor pareça certo. Na conferência, o nome do recebedor precisa bater com a empresa.
