Caiu num golpe de QR code? Veja o que fazer agora

O QR code é um quadrado de pontos que o celular lê para abrir um pagamento ou uma página. Como ninguém consegue ler o código a olho nu, o golpista troca o verdadeiro pelo dele e espera você pagar sem conferir. Ele aparece de quatro formas principais.

• O adesivo colado sobre o QR code verdadeiroO golpista imprime um QR code do Pix ligado à conta dele e cola por cima do código verdadeiro. Acontece em mesa de restaurante, caixa de loja, cartaz, estacionamento e parquímetro. Você lê, paga e o dinheiro vai para o golpista, não para o lugar onde você está.
• O QR code no boleto ou na cobrança falsaA cobrança chega por e-mail, mensagem ou papel, com o visual de uma empresa conhecida e um QR code do Pix para pagar mais rápido. O valor pode estar certo, mas quem recebe é o golpista. O mesmo truque aparece no código "copia e cola".
• O QR code na encomenda ou na cartaChega um pacote, uma carta ou um folheto que você não pediu, com um QR code para "confirmar a entrega", "receber um brinde" ou "atualizar o cadastro". O código leva a um site falso que pede dados pessoais, dados do cartão ou um pagamento.
• O QR code que leva a site falso de banco ou de lojaO código abre uma página que copia o visual do seu banco ou de uma loja virtual conhecida. Ali pedem a senha, o código que chega por SMS, os dados do cartão ou a instalação de um aplicativo. Com isso, o golpista pode entrar na sua conta.

Nenhum sinal sozinho prova o golpe, mas dois ou três juntos pedem que você pare e confira.

• Adesivo colado por cimaBordas soltas, papel por cima de outro papel, cor ou tamanho diferente do resto do cartaz. A Cartilha de Segurança do CERT.br recomenda procurar sinais de alteração antes de ler qualquer QR code em local público.
• Nome que não bateNa tela de confirmação do banco aparece o nome de uma pessoa ou de uma empresa que não tem nada a ver com o restaurante, a loja ou a conta que você quer pagar.
• QR code que chegou por mensagemCobrança, prêmio ou entrega que chega por SMS, e-mail ou WhatsApp com um QR code para pagar. O CERT.br orienta ignorar QR codes recebidos por mensagem e buscar o código no site ou no aplicativo oficial.
• Página que pede senha ou códigoDepois de ler o QR code, abre uma página pedindo senha do banco, código de verificação ou dados completos do cartão. Não digite nada ali: entre no banco só pelo aplicativo oficial.
• Pressa e valor estranhoA cobrança "vence hoje", o brinde "acaba agora", o valor é diferente do combinado. A pressa serve para você não conferir.

1. 1

   Olhe o QR code antes de ler

   Veja se não há adesivo colado por cima ou sinal de que o cartaz foi mexido. Na dúvida, não leia e chame o atendente ou o responsável pelo local.

2. 2

   Confira o nome na tela do banco

   Depois de ler o código, o aplicativo do banco mostra quem vai receber. Leia com calma: o nome precisa ser o da loja, do restaurante ou da empresa que você quer pagar.

3. 3

   Confira o CPF ou o CNPJ e o valor

   Se quem recebe é uma empresa, o banco mostra o CNPJ. Se é uma pessoa, mostra parte do CPF. O valor também precisa ser o combinado.

4. 4

   Se algo não bater, cancele

   Não confirme. Cancelar antes de concluir não custa nada. Peça outro meio de pagamento ou pergunte ao atendente qual é o nome que deve aparecer.

5. 5

   Prefira o código do canal oficial

   Para contas e boletos, pegue o QR code no aplicativo ou no site oficial da empresa, digitando você mesmo o endereço, e não no que chegou por mensagem.

1. 1

   Avise o banco e peça o MED

   No aplicativo do banco, na área do Pix, use a opção de contestar a transação, ou ligue para o SAC. Diga que foi golpe com QR code falso e peça o MED, o Mecanismo Especial de Devolução do Banco Central. Anote o número do protocolo.

2. 2

   Guarde as provas

   Tire foto do QR code falso e do lugar onde ele estava, de perto e de longe. Guarde o comprovante do Pix, com o nome e o CPF ou CNPJ de quem recebeu, e faça prints da mensagem ou do site, com o endereço da página.

3. 3

   Registre o boletim de ocorrência

   Pode ser pela internet, na delegacia virtual do seu estado. Conte onde estava o QR code, a data, a hora, o valor e quem aparece como recebedor no comprovante.

4. 4

   Se digitou senha ou dados, proteja a conta

   Troque a senha do banco pelo aplicativo oficial, bloqueie o cartão cujos dados você digitou e avise o banco. Se instalou algum aplicativo a pedido da página, conte isso ao banco também.

5. 5

   Avise o lugar onde estava o QR code

   Mostre o adesivo ao gerente do restaurante, da loja ou do estacionamento. Assim ele retira o código falso e evita novas vítimas. Peça que guarde o adesivo e, se houver, as imagens das câmeras.

6. 6

   Se o banco negar ou não responder

   Guarde a resposta e o protocolo. Você pode registrar reclamação no consumidor.gov.br ou no Procon e procurar orientação jurídica.

O MED pode ser pedido em até 80 dias depois do Pix, mas quanto antes, maior a chance. O Banco Central rastreia o dinheiro na conta que recebeu e nas contas para onde ele foi passado, e o bloqueio alcança o saldo que ainda estiver nelas. Veja o passo a passo no guia sobre o que fazer depois de um golpe do Pix. Para as fotos e os prints servirem de prova, veja também quando o print vale como prova e como guardá-lo.

Quando o golpista cola um QR code falso no balcão ou na mesa, o comerciante também é vítima: o cliente pagou, mas o dinheiro não entrou na conta da loja. Faça estes passos assim que perceber a troca.

1. 1

   Fotografe antes de retirar

   Tire fotos do adesivo, do lugar e da data. Depois retire o código falso e confira todos os outros QR codes da loja.

2. 2

   Registre o boletim de ocorrência

   Conte quando percebeu a troca e junte as fotos. Se houver câmeras, guarde as imagens do período.

3. 3

   Confira os pagamentos recebidos

   Compare as vendas do dia com os Pix que entraram de fato na sua conta. Isso mostra quando a troca começou e quantos clientes podem ter pago ao golpista.

4. 4

   Avise o seu banco e os clientes

   Informe o banco da conta que recebe os pagamentos. Com cuidado, avise os clientes que pagaram no período para que eles também peçam o MED ao banco deles.

Quem arca com o prejuízo, o cliente que pagou ao golpista ou o comerciante que não recebeu, e se algum banco responde, depende de como o golpe aconteceu e dos registros de cada pagamento: cada caso depende das provas. Veja quando o banco costuma responder no guia sobre se o banco tem que devolver o dinheiro do golpe.

Os três golpes desviam um pagamento que parece legítimo, mas a pista muda. No QR code falso, a pista está no nome do recebedor na tela do banco; na cobrança dos Correios, no link da mensagem; no boleto falso, no beneficiário do boleto.

• Golpe do QR codeO pagamento vai para o golpista porque o código foi trocado ou falsificado. A tela de confirmação do banco mostra outro nome como recebedor, e é ali que dá para perceber a tempo.
• Golpe dos CorreiosA mensagem chega por SMS, e-mail ou WhatsApp cobrando uma taxa de entrega, com um link para um site que imita os Correios ou uma transportadora.Veja o guia do golpe dos Correios
• Boleto falsoO boleto inteiro é falso ou foi adulterado, e o código de barras leva o dinheiro para outra pessoa. A conferência é no nome do beneficiário antes de pagar.Veja o guia do boleto falso

• EstelionatoCódigo Penal, art. 171: obter vantagem ilícita enganando alguém por artifício, ardil ou outro meio fraudulento. Pena de reclusão de 1 a 5 anos e multa, na redação da Lei 15.397/2026.
• Fraude eletrônicaCódigo Penal, art. 171, § 2º-A: quando a fraude usa informações dadas pela vítima ou por alguém enganado por redes sociais, contatos telefônicos, e-mail fraudulento ou outro meio fraudulento parecido. Pena de reclusão de 4 a 8 anos e multa, na redação da Lei 15.397/2026.
• Vítima idosa ou vulnerávelCódigo Penal, art. 171, § 4º: a pena aumenta de 1/3 ao dobro se o crime é cometido contra idoso ou vulnerável, considerada a relevância do resultado gravoso (redação da Lei 14.155/2021).

A lei pune quem aplica o golpe. Quem pagou um QR code falso achando que pagava a conta do restaurante é vítima. Qual dessas regras se aplica a cada caso é avaliado pela polícia e pela Justiça, e o boletim de ocorrência com as fotos e o comprovante ajuda a investigar quem está por trás da conta que recebeu o dinheiro.

• Já fez o Pix?Veja o passo a passo do MED, o prazo de 80 dias e o que fazer se o banco negar a devolução.
• Pagou um boleto falso ou adulterado?Veja como conferir o beneficiário, o que fazer se já pagou e quando o banco ou a empresa podem responder.
• Recebeu cobrança de taxa de entrega?Veja como reconhecer a falsa cobrança dos Correios e o que fazer se você pagou ou digitou seus dados.

Cada etapa depende da anterior. Nem todo caso passa por todas elas. Não há resultado garantido, e cada caso depende das provas.

1. Etapa 1

   Análise do caso

   Leitura do comprovante, das fotos do QR code, do boletim de ocorrência e das respostas do banco para entender como o golpe aconteceu e definir o caminho.

2. Etapa 2

   Medidas com o banco

   Quando o MED foi negado ou não teve resposta, pedido formal ao banco, com as provas do golpe, para rever a análise.

3. Etapa 3

   Medidas na Justiça

   Quando cabível, pedido para que os bancos informem quem está por trás da conta que recebeu o dinheiro, e ação de reparação contra os responsáveis.

Entrevistas sobre golpes no Pix, sites falsos e crimes digitais.

• 

  SBT News, Poder Expresso

  Nova modalidade: Banco Central lança o Pix Automático

• 

  TV Record

  Golpe perfeito? Criminosos utilizam ferramentas que clonam voz e rosto da vítima

• 

  CNJ

  Entrevista como professor e advogado de Direito Digital