O golpe do QR Code, também chamado de quishing, é uma fraude cibernética em que criminosos utilizam códigos QR adulterados para direcionar pessoas a páginas falsas, roubar dados pessoais e bancários ou desviar pagamentos via Pix. A prática ocorre tanto no ambiente físico quanto no digital, substituindo links maliciosos por códigos visuais que parecem inofensivos à primeira vista.
Com a popularização dos pagamentos instantâneos e o hábito de acessar cardápios e serviços pela câmera do celular, os criminosos encontraram nessa tecnologia um novo canal de ataque. O desconhecimento sobre como o código opera facilita o engano, já que o olho humano não consegue ler o destino real do endereço codificado.
Para evitar prejuízos financeiros e manter suas informações protegidas, acompanhe este guia prático. Você vai aprender a reconhecer os principais sinais de risco, adotar hábitos defensivos no dia a dia e entender como agir com rapidez caso caia no golpe do QR Code.
O que é o golpe do QR Code?
Nesse tipo de golpe, os criminosos utilizam QR Codes falsos ou adulterados para direcionar a vítima a ações prejudiciais, como transferências indevidas, instalação de aplicativos maliciosos ou roubo de dados pessoais.. O termo técnico para essa modalidade é quishing, uma junção de "QR Code" com "phishing" (técnica de pesca digital que atrai vítimas para armadilhas virtuais).
O golpe do QR Code é verdadeiro, tratando-se de uma ameaça real e cada vez mais frequente em centros urbanos e no comércio eletrônico.
Na prática, o código visual serve apenas como uma ponte de acesso rápido para um link de internet ou para uma chave de pagamento. Quando golpistas alteram esse caminho, a câmera do aparelho pode carregar páginas clonadas de bancos, instalar programas maliciosos (malware) ou enviar dinheiro diretamente para a conta de terceiros via Pix.
Como funciona o golpe do QR Code?
Conforme alerta recente da Febraban, criminosos têm colocado adesivos contendo códigos fraudulentos sobre suportes legítimos em balcões, totens de mesa e estacionamentos. Ao escanear sem inspecionar a superfície, o consumidor transfere o valor para quadrilhas em vez de quitar a conta com o comércio.
Para compreender como funciona o golpe do QR Code, vale analisar o passo a passo da abordagem criminosa:
-
Criação da armadilha: o golpista gera um código malicioso vinculado a uma chave Pix de terceiros (laranjas) ou a uma página fraudulenta idêntica à de uma empresa conhecida;
-
Distribuição ou sobreposição: o fraudador cola adesivos com o código adulterado sobre materiais legítimos em lojas ou espalha a imagem por mensagens de texto, redes sociais e correspondências impressas;
-
Engenharia social: a vítima é atraída por falsos pretextos, como descontos agressivos, cobranças emergenciais ou promoções vantajosas;
-
Captura ou desvio: ao apontar a câmera, o usuário é direcionado para a armadilha, em que confirma um pagamento indevido ou preenche credenciais privadas de login.
A tática central é o uso de técnicas de engenharia social, explorando a pressa, a distração ou o medo do consumidor para que ele pule etapas básicas de conferência.
Principais tipos de golpe do QR Code falso
O golpe do QR Code falso assume diferentes formatos conforme o ambiente em que é aplicado. Conhecer as variações mais comuns ajuda a manter a atenção redobrada diante de situações suspeitas.
QR Code premiado
O QR Code premiado é uma isca comum em redes sociais e aplicativos de mensagens. A vítima se depara com anúncios chamativos que prometem transferências imediatas via Pix, devolução em dobro de valores transferidos ou brindes mediante um cadastro rápido.
Ao fazer a leitura, a pessoa costuma ser levada a formulários que pedem dados bancários ou a telas de Pix com valores pré-definidos disfarçados de "taxa de liberação do prêmio". Esse tipo de benefício fácil inexiste no sistema financeiro real.
QR Code falso em boletos e cobranças
Nessa modalidade, criminosos interceptam boletos legítimos ou enviam faturas fraudulentas por e-mail e aplicativos de mensagens, incluindo um código adulterado no rodapé da folha.
Ao invés de processar a quitação do débito original, o código transfere o montante para a conta do estelionatário. Para evitar essa fraude, vale saber como identificar boletos falsos antes de finalizar qualquer pagamento.
QR Code adulterado em estabelecimentos
Bastante comum no comércio físico, essa fraude ocorre quando criminosos colam adesivos próprios sobre totens de mesa, balcões de atendimento, placas de estacionamento ou cardápios digitais.
Quando o cliente decide pagar a conta pelo código exposto, o valor não entra no caixa do restaurante ou da loja, mas sim no bolso do golpista, gerando duplicidade de cobrança.
QR Code em e-mails, SMS e redes sociais
Criminosos enviam mensagens com tom alarmista, alegando bloqueio de conta, suspensão de cartão ou cobrança de débitos judiciais. No corpo do comunicado, colocam um código para "regularização imediata".
Como os filtros automáticos de spam costumam ler links em texto puro, mas têm maior dificuldade para analisar o interior de imagens, o envio de códigos gráficos virou o meio preferido para escapar de bloqueios de segurança.
Leia também: Como saber se um link é falso? Confira como se proteger!
Como identificar um QR Code falso?
Diferenciar um código autêntico de um fraudulento exige observação atenta do ambiente físico e das telas de confirmação no celular. Embora as imagens quadriculadas pareçam idênticas, pistas claras denunciam a adulteração:
| Ponto de atenção | QR Code legítimo | QR Code falso ou suspeito |
| Aparência física | Impresso diretamente no material oficial da empresa | Adesivo colado sobre o suporte original ou com marcas de rasura |
| Endereço web (URL) | Domínio oficial, limpo e com certificado de segurança | Endereço encurtado, cheio de números ou com erros de ortografia |
| Favorecido no Pix | Razão Social e CNPJ conhecidos do estabelecimento | Nome de pessoa física desconhecida ou apelido aleatório |
| Contexto da abordagem | Canal oficial de consulta ou rotina padrão de pagamento | Promessa de prêmio rápido, desconto surreal ou tom de urgência |
Como se proteger do golpe do QR Code
A prevenção contra o quishing depende de pequenas mudanças na rotina digital. Algumas regras simples reduzem consideravelmente as chances de prejuízo:
- Desative a abertura automática de links: ajuste o leitor de código do seu smartphone para exibir a URL completa antes de navegar até o site;
- Examine o material impresso: ao pagar contas em lojas, restaurantes ou postos de combustível, passe a mão sobre o código para checar se não há uma etiqueta colada por cima;
- Verifique todos os dados do Pix: antes de digitar a senha, leia com calma o nome do favorecido, o banco de destino, o CPF ou CNPJ parcial e o valor exato;
- Evite ler códigos de fontes desconhecidas: desconfie de cartazes colados em postes, panfletos deixados no para-brisa do carro ou mensagens inesperadas no WhatsApp;
- Mantenha o antivírus do celular atualizado: ferramentas de segurança digital ajudam a bloquear o carregamento de sites falsos e downloads maliciosos.
Atenção especial deve ser dedicada às transações instantâneas. Conhecer a fundo as dinâmicas do golpe do Pix fortalece sua barreira de proteção no cotidiano.
O que fazer se cair no golpe do QR Code?
Caso tenha escaneado um código suspeito e concluído uma transação indevida, a velocidade da sua reação é fundamental para mitigar perdas. Siga este passo a passo:
Contate o banco imediatamente
Ligue imediatamente para o Serviço de Atendimento ao Consumidor (SAC) ou acesse os canais oficiais do seu banco. Explique que foi vítima de um golpe e solicite o bloqueio temporário das credenciais ou das transações afetadas.
Solicite o MED (Mecanismo Especial de Devolução) do Pix
Se a transação foi feita via Pix, solicite a abertura de um chamado pelo MED (Mecanismo Especial de Devolução). Essa ferramenta, criada pelo Banco Central, permite que a instituição financeira de origem notifique o banco recebedor para bloquear os fundos na conta de destino enquanto a suspeita de fraude é apurada.
O prazo para protocolar o pedido no MED costuma ser de até 80 dias após a transferência, mas quanto mais rápido for o registro, maior a probabilidade de encontrar saldo na conta recebedora.
Registre um boletim de ocorrência
Elabore um Boletim de Ocorrência (B.O.) na Delegacia de Polícia Civil, presencialmente ou pela delegacia eletrônica do seu estado. Junte todas as evidências possíveis: comprovantes de envio, capturas de tela das mensagens trocadas, foto do código escaneado e os dados bancários do destinatário.
O compromisso do banco BV com a sua segurança digital
O banco BV investe continuamente em sistemas modernos de monitoramento para garantir a integridade das suas operações financeiras. Manter você bem informado faz parte desse cuidado.
Para que você nunca caia em fraudes em nome da instituição, lembre-se das diretrizes da Cartilha de Proteção e Segurança do BV:
- O banco BV não pede informações pessoais nem senhas;
- Não envia funcionários até a residência dos clientes;
- Não recolhe cartões, mesmo aqueles vencidos ou inutilizados;
- Não solicita nenhum tipo de depósito ou transferência para liberar empréstimos e serviços;
- Não solicita acesso remoto a aplicativos ou ao aparelho celular;
- Não envia links por WhatsApp, redes sociais, SMS ou e-mail para atualização de dados cadastrais.
Para conferir mais orientações preventivas e canais de contato, visite a página oficial de segurança do BV. Quem busca tranquilidade no dia a dia também pode avaliar soluções complementares de proteção, como o Seguro Pix, projetado para resguardar transferências sob coação ou transações indevidas.
Perguntas frequentes sobre o golpe do QR Code
É possível ter o celular invadido só por escanear um QR Code?
O simples escaneamento costuma apenas interpretar um texto ou endereço web. No entanto, o risco surge quando o link acessado inicia o download automático de um aplicativo malicioso ou explora brechas do navegador desatualizado. Portanto, nunca autorize a instalação de arquivos ou conceda permissões no aparelho após a leitura.
Como saber se um QR Code de Pix é seguro?
Antes de digitar sua senha ou biometria, verifique se a Razão Social ou o nome do destinatário corresponde exatamente a quem você pretendia pagar. Se o nome não bater com a loja ou o prestador de serviço, cancele a operação na hora.
O banco devolve o dinheiro perdido no golpe do QR Code?
A devolução não ocorre de forma automática e depende da apuração de cada caso. Quando acionado via MED pelo Pix, o banco tenta reaver os valores caso ainda haja saldo na conta de destino. Em situações em que fica comprovada a falha de prestação de serviço de segurança das instituições envolvidas, a restituição pode ser deferida.
QR Code premiado existe de verdade?
Não existe programa oficial de transferência financeira gratuita por QR Code. Mensagens que prometem retornos multiplicados sobre um valor transferido ou prêmios instantâneos mediante taxa prévia de cadastro são golpes clássicos baseados em promessas falsas.
Como denunciar um QR Code falso?
Avise a gerência do estabelecimento caso encontre um código adulterado no balcão ou nas mesas. Se a fraude envolver anúncios ou mensagens na internet, denuncie a publicação na própria plataforma e registre a ocorrência nas autoridades policiais para que a URL maliciosa e as contas recebedoras sejam investigadas.
