QR Code falso no Pix: como reconhecer antes de pagar

Um QR Code falso no Pix pode desviar o pagamento de uma compra para uma conta diferente daquela que o consumidor pretendia usar. O problema não depende apenas de um link com aparência suspeita: em alguns golpes, o código parece estar na página certa, mas os dados de recebimento exibidos pelo aplicativo bancário não correspondem à loja.

A principal defesa é simples e precisa acontecer antes da confirmação: conferir o valor, o nome e, quando aplicável, o CNPJ ou a identificação do recebedor no aplicativo do banco. Este guia explica o que observar em compras online, cardápios digitais, boletos e cobranças recebidas por mensagem, sem exigir conhecimentos técnicos.

Como funciona o golpe do QR Code falso?

O QR Code é uma representação visual de informações que podem levar a um site, a um formulário ou a um pagamento. Ao apontar a câmera do celular para um código, o aparelho apenas interpreta os dados ali codificados. Isso não garante que o destino seja verdadeiro, seguro ou autorizado pelo estabelecimento.

No caso do Pix, um código de cobrança pode carregar dados destinados a iniciar uma transferência. Se o conteúdo for adulterado e o consumidor confirmar sem conferir o destinatário, o dinheiro pode seguir para uma conta diferente da esperada. O mesmo tipo de desvio pode acontecer com um código de pagamento na modalidade “copia e cola”.

Em 16 de setembro de 2026, o Procon-SP publicou um alerta sobre adulteração de QR Codes do Pix em páginas de lojas virtuais. A orientação é verificar no aplicativo bancário se o recebedor está relacionado à empresa ou à instituição de pagamento que deveria processar a compra.

É importante distinguir uma possibilidade de fraude de uma conclusão automática: não é porque um comércio usa QR Code que a cobrança é suspeita. O risco aparece quando a origem não pode ser confirmada, o código foi alterado ou os dados no banco não fazem sentido para aquela transação.

Três situações em que o consumidor deve redobrar atenção

1. QR Code de pagamento em loja virtual

Você escolhe um produto, chega ao checkout e vê a opção de pagamento por Pix. Antes de autorizar, observe a tela do aplicativo do banco. O valor precisa corresponder ao pedido e a identificação do destinatário deve fazer sentido para o vendedor ou para o intermediador de pagamento informado no checkout.

Uma divergência isolada de nome pode ter explicação legítima, como o uso de uma instituição de pagamento, mas deve ser verificada por meio de canais oficiais. Se aparecer uma pessoa desconhecida sem relação explicada com a compra, interrompa o processo até confirmar.

2. QR Code colado sobre outro em local físico

Etiquetas adesivas em cartazes, mesas ou totens podem ser substituídas. Quando um código parece ter sido colado por cima de outro, está rasgado ou aponta para um endereço inesperado, peça a um funcionário que confirme a forma correta de pagamento. Em estabelecimentos com QR Code dinâmico, a conferência do recebedor continua indispensável.

3. QR Code enviado por mensagem

Mensagens dizendo que existe uma entrega bloqueada, uma taxa urgente ou um pagamento pendente podem trazer códigos ou links fraudulentos. Em vez de usar o código recebido, abra manualmente o site ou aplicativo oficial do serviço e consulte a cobrança pela sua conta. A pressa induzida pelo remetente não é prova de legitimidade.

Checklist: o que conferir antes de pagar um Pix com QR Code

1. Origem: você chegou ao código pelo aplicativo ou site oficial que pretendia usar?
2. Valor: o total exibido pelo banco corresponde ao pedido, incluindo frete ou descontos?
3. Destinatário: o nome da pessoa ou empresa tem relação clara com a cobrança?
4. CNPJ: quando aparecer, corresponde à organização responsável ou ao processador indicado?
5. Descrição: há sinais estranhos, como produto diferente, instruções contraditórias ou cobrança inesperada?
6. Autenticidade: se houver dúvida, confirme com o estabelecimento por um canal encontrado independentemente da mensagem recebida.

O aplicativo bancário é a última etapa de conferência antes da transferência. Não basta a página da loja exibir um nome conhecido se o recebedor mostrado pelo banco é outro. A tela final é a informação que merece atenção redobrada.

Como verificar uma loja antes de escanear o QR Code

Avalie a compra como um todo. Leia o endereço do site, procure dados reais de contato e identifique a empresa responsável. Desconfie de promoções incompatíveis com o mercado, exigências de pagamento imediato e atendimento que só conversa por perfis recém-criados. Isso não prova que a loja é falsa, mas justifica uma verificação mais cuidadosa.

Para aprofundar a análise, veja nosso guia sobre como reconhecer lojas falsas na internet. Também explicamos como consultar o CNPJ de uma loja antes de comprar. Essas checagens ajudam a avaliar a empresa, mas não dispensam a confirmação dos dados de cada pagamento.

Se a loja informar que recebe por uma empresa intermediadora, confirme essa informação em seus canais oficiais. Uma razão social diferente pode ser legítima, mas não deve ser aceita com base apenas em uma explicação enviada por um desconhecido pelo WhatsApp.

QR Code de site e QR Code de Pix são a mesma coisa?

Não necessariamente. Um QR Code pode conter um endereço da web, um contato, uma rede Wi-Fi, texto ou dados de pagamento. A câmera geralmente mostra uma prévia do endereço quando o conteúdo é um link; já um aplicativo bancário pode interpretar os dados de cobrança diretamente.

Quando o código abre uma página, confira o domínio antes de inserir senha, CPF, dados bancários ou instalar aplicativos. Uma página com aparência semelhante à de um banco pode ser falsa. O símbolo de cadeado e o HTTPS indicam conexão criptografada, mas não são prova isolada de que o site pertence à instituição desejada.

Quando o código gera uma transferência Pix, a verificação crítica passa a ser o recebedor apresentado no aplicativo do banco. Em ambos os casos, o QR Code é apenas um meio de transportar dados e não uma certificação de confiança.

Pix “copia e cola” também pode ser adulterado?

Sim. O código textual usado para iniciar um pagamento também merece conferência. O alerta do Procon-SP destaca que a substituição de informações não se limita à imagem quadrada do QR Code. Portanto, copiar um código da página da loja não elimina o risco de desvio se o conteúdo original foi comprometido.

Antes de concluir, compare valor e destinatário. Se a opção de copiar e colar produzir um recebedor estranho, não tente “corrigir” manualmente o código: interrompa e peça uma forma de cobrança confirmada pelo fornecedor.

E se o nome do destinatário for diferente do nome da loja?

Algumas lojas utilizam intermediadores e plataformas de pagamento, o que pode produzir um nome comercial ou razão social distinto. Isso não significa automaticamente fraude, mas é um motivo para confirmar a relação. O atendimento do próprio estabelecimento, acessado por telefone ou canal oficial independente, deve conseguir informar quem processa o pagamento.

Se a loja não consegue explicar a divergência, pressiona por transferência imediata ou pede um Pix para uma conta pessoal sem contexto, interrompa o pagamento. O custo de esperar e confirmar tende a ser menor que o risco de enviar dinheiro para o destinatário errado.

Já paguei um QR Code falso: o que fazer agora?

1. Entre em contato imediatamente com seu banco

Use o aplicativo, o número no cartão ou outro canal oficial do banco. Informe o horário, o valor, os dados da transação e o motivo pelo qual suspeita de fraude. Solicite a avaliação da ocorrência e pergunte sobre a contestação via Mecanismo Especial de Devolução (MED), quando aplicável.

2. Guarde as evidências

Salve comprovante do Pix, número da transação, URL da loja, captura de tela do checkout, QR Code apresentado, mensagens com o vendedor e protocolo do atendimento bancário. Não altere os arquivos originais. Uma linha do tempo breve facilita explicar o caso a banco, fornecedor ou autoridade competente.

3. Avise a loja pelos canais oficiais

Se o checkout de uma loja verdadeira tiver sido adulterado, o estabelecimento precisa conhecer o problema para verificar sua operação e orientar outros clientes. Procure o atendimento a partir do endereço conhecido da empresa, e não apenas respondendo à mensagem suspeita.

4. Considere registrar uma ocorrência

Conforme as circunstâncias, o registro de boletim de ocorrência e a consulta a órgãos de defesa do consumidor podem ajudar a documentar a fraude. O Banco Central reúne orientações sobre golpes em pagamentos e o contato com a instituição financeira. O MED é um mecanismo de análise e tentativa de devolução; não há garantia de recuperação integral do valor.

O que não fazer depois de perceber a fraude

Não faça outra transferência para “desbloquear” a devolução, não compartilhe senha ou código de autenticação e não instale aplicativo de acesso remoto por orientação de supostos atendentes. Golpistas podem aproveitar o desespero da vítima para aplicar uma segunda fraude.

Se você digitou credenciais em um site falso, troque as senhas pelos canais oficiais, encerre sessões desconhecidas e ative autenticação adicional quando disponível. Se informou dados de cartão, converse com a instituição emissora para avaliar bloqueios e monitoramento de transações.

Como empresas podem reduzir esse tipo de risco

Estabelecimentos devem revisar periodicamente os códigos expostos em cartazes e embalagens, conferir se o destino de pagamento continua correto e orientar funcionários a validar cobranças quando clientes relatarem divergências. Em sites, vale acompanhar a integridade das páginas de checkout e limitar alterações indevidas.

Uma comunicação clara sobre a razão social ou instituição que aparecerá como recebedora também ajuda. O consumidor informado reconhece melhor uma cobrança legítima e identifica mais rapidamente uma mudança suspeita.

Perguntas frequentes

Todo QR Code de Pix que aparece em anúncio é golpe?

Não. O código pode ser legítimo, mas anúncios e mensagens não garantem autenticidade. Confirme a origem da cobrança e sempre revise valor e recebedor no aplicativo bancário.

Se o aplicativo do banco mostra o valor correto, posso pagar sem conferir mais nada?

Não. O valor pode estar correto mesmo quando o destinatário foi alterado. Verifique também nome, CNPJ quando aplicável e a relação com a loja ou processador de pagamento.

O cadeado do navegador prova que o QR Code é seguro?

Não. HTTPS protege a comunicação com o site acessado, mas não certifica a honestidade do dono da página nem impede que o código seja fraudulento. Confira o domínio e os dados da cobrança.

O banco devolve automaticamente o Pix de um golpe?

Não existe devolução automática garantida para todo caso. É importante comunicar a suspeita prontamente, apresentar evidências e solicitar análise do mecanismo de contestação cabível.

É melhor pagar pelo código ou por chave Pix?

Ambas as formas exigem confirmação do beneficiário antes da autorização. O método mais seguro é aquele cuja origem e informações podem ser verificadas por você nos canais oficiais da empresa.

Resumo: cinco segundos de conferência evitam erros caros

Antes de confirmar qualquer Pix iniciado por QR Code ou “copia e cola”, compare o valor e o destinatário exibidos pelo banco com a cobrança esperada. Em caso de divergência, interrompa e confirme com a loja por outro canal. Se já houve pagamento suspeito, avise imediatamente sua instituição financeira e preserve os registros. Informações revisadas em 24 de outubro de 2026; procedimentos de contestação podem mudar, por isso siga também as instruções oficiais do seu banco.