ALERTA: golpe do QR Code falso desvia seu Pix com um adesivo. Veja como reconhecer

Você termina de comer na barraca da feira, aponta o celular para o QR Code colado no balcão, confere o valor e paga. Está tudo certo, menos um detalhe: o código que você leu não é o do vendedor. É um adesivo colado por cima do verdadeiro, e o dinheiro foi parar na conta de um criminoso. Esse é o golpe do QR Code falso, alvo de um alerta da Febraban publicado em 20 de outubro de 2026.

O golpe tem um nome técnico, quishing, a junção de QR com phishing. E é especialmente traiçoeiro porque ninguém invade o seu celular. Quem faz a transferência é você.

Como o golpe do QR Code falso funciona

A Febraban descreve três versões do golpe:

• No balcão: o criminoso imprime um QR Code que leva para a conta dele e cola o adesivo por cima do código legítimo de bares, restaurantes, feiras, estacionamentos e outros comércios. O cliente acha que está pagando a loja.
• Na internet: o golpista explora falhas em plataformas de comércio eletrônico para trocar o QR Code ou os dados de pagamento mostrados ao comprador. A página parece normal, mas o código manda o dinheiro para outro recebedor. Também há sites falsos que imitam lojas conhecidas.
• No boleto impresso: o QR Code do Pix que vem no boleto pode ser trocado por um falso, e a linha digitável e o logotipo continuam iguais, o que engana até quem confere o papel.

A versão do boleto ficou mais perigosa por um motivo prático. Como lembra a Folha BV, com base em orientação do Banco Central, pagar o boleto pelo QR Code do Pix é uma transferência instantânea. Não existe o prazo de compensação do boleto comum, então não há intervalo para cancelar.

O alerta não vem sozinho. Em setembro, o Procon-SP já tinha avisado que a troca de código atingia lojas virtuais e o Pix Copia e Cola. Nesse caso, quem é invadido não é o comprador, e sim a loja: um código malicioso inserido na plataforma de venda substitui os dados de pagamento na hora de fechar a compra, e todos os clientes daquele site passam a pagar o golpista. Especialistas encontraram o código em pelo menos 90 sites brasileiros, a maioria de lojas pequenas e médias que usam a plataforma Magento, segundo o Correio da Manhã e a IstoÉ Dinheiro. Como o valor da compra continua certo, conferir só o preço não revela nada.

Como reconhecer antes de pagar

A regra mais importante cabe numa frase: o nome que aparece no aplicativo do banco tem que ser o de quem você está pagando.

“Antes de concluir qualquer pagamento por QR Code, é fundamental conferir os dados exibidos”, disse Raphael Mielle, diretor de Serviços e Segurança da Febraban, no alerta da entidade. Segundo ele, “essa simples verificação pode revelar uma adulteração antes que o dinheiro seja transferido”.

Na prática, faça este checklist toda vez:

1. Olhe o código antes de escanear. Adesivo com borda levantada, papel colado sobre outro papel, código torto ou com aparência diferente do resto do material da loja são sinais de adulteração. “Em ambientes físicos, o consumidor também deve observar o próprio código antes da leitura”, orientou Mielle.
2. Leia o nome do recebedor na tela. Antes de digitar a senha, confira o nome e o valor que o aplicativo mostra. Barraca chamada “Tacos da Ana” não pode cobrar em nome de um desconhecido.
3. Compare o CNPJ quando houver. O Procon-SP recomenda comparar o nome e o CNPJ exibidos pelo banco com os dados da empresa. Um nome diferente da marca pode ser uma instituição de pagamento usada pela loja, mas isso precisa ser esclarecido antes de pagar.
4. Na dúvida, pergunte. Peça ao vendedor para confirmar o nome que aparece. Comerciante honesto sabe em nome de quem recebe.
5. Compre só no site oficial. Para compras online, a Febraban orienta digitar o endereço da loja, conferir a URL e não comprar por links recebidos em mensagem, e-mail ou rede social.
6. Desconfie de pressa e de preço bom demais. Pressão para pagar imediatamente é marca registrada de golpe.

Se os dados do aplicativo não baterem com a loja ou com a compra, a orientação da Febraban é simples: não conclua a transação.

Caí no golpe. E agora?

Agir rápido aumenta a chance de recuperar o dinheiro. A sequência recomendada:

1. Ligue para o seu banco imediatamente pelos canais oficiais e relate a fraude.
2. Peça a contestação pelo MED, o Mecanismo Especial de Devolução do Pix. Segundo o Banco Central, citado pela Folha BV, o pedido pode ser feito em até 80 dias depois da transação, mas quanto antes, maior a chance de ainda haver saldo na conta do golpista. Explicamos como o mecanismo funciona neste guia sobre o MED 2.0.
3. Guarde provas: comprovante do Pix, foto do QR Code adulterado, nome do recebedor e horário.
4. Avise o estabelecimento, para que ele retire o adesivo e evite novas vítimas.
5. Registre boletim de ocorrência, que pode ser feito pela delegacia eletrônica do seu estado.

A devolução não é garantida. O MED passa por análise e pode devolver o valor inteiro, só uma parte ou nada, dependendo do que ainda estiver na conta de destino.

Se o banco negar, ainda há a Justiça. O Observatório Rosenbaum de Golpes e Fraudes Bancárias levantou 1.041 decisões do Tribunal de Justiça de São Paulo sobre golpes do falso boleto entre junho de 2025 e agosto de 2026, e em metade delas o consumidor conseguiu ressarcimento total ou parcial, segundo o Jornal de Brasília. Nos outros cinco tribunais estaduais analisados, o índice foi de 36,9%. A responsabilidade do banco depende de cada caso e de ter havido falha na prestação do serviço, então vale procurar o Procon ou a Defensoria antes de desistir.

Por que o alerta importa agora

O feriadão de Finados, de 31 de outubro a 2 de novembro, junta festivais de rua, feiras e estacionamentos lotados, exatamente os lugares citados pela Febraban. Quem for aos rolês gratuitos do feriado em São Paulo vai pagar comida e bebida por Pix em barracas, e é ali que um adesivo passa despercebido.

A Febraban não divulgou número de vítimas nem o prejuízo acumulado com o golpe do QR Code falso. O alerta trata de como a fraude funciona, não de um aumento medido de casos. Mas o mecanismo é barato para o criminoso, que precisa só de uma impressora e de alguns segundos sozinho perto do balcão, e caro para quem cai, porque o Pix não volta sozinho.

Três segundos olhando o nome na tela do celular resolvem.