Golpe do QR Code: Como Identificar Códigos Falsos e Evitar Prejuízos

O QR Code está em cardápios, ingressos, estacionamentos, contas, embalagens e páginas de pagamento. A praticidade é evidente: basta apontar a câmera para abrir um endereço ou iniciar uma cobrança.

O problema é que a imagem do código não revela, por si só, o que existe por trás dela. Um QR Code adulterado pode abrir uma página falsa, apresentar um Pix destinado a outra pessoa, iniciar o download de um arquivo perigoso ou direcionar o usuário para uma tela criada para roubar senhas e dados pessoais.

Isso não significa que todo código seja suspeito. O risco aparece quando o usuário confia na aparência, ignora a origem e confirma uma ação sem verificar o destino. Neste guia, você vai entender como funciona o golpe do QR Code, onde ele costuma aparecer e o que conferir antes de abrir um link ou fazer um pagamento.

O QR Code não é o golpe: o perigo está no destino

Um QR Code é uma representação visual de informações. Ele pode armazenar um endereço de site, um código Pix, um contato, dados de uma rede Wi-Fi ou outro conteúdo compatível com o leitor utilizado.

Na maioria dos celulares atuais, a câmera identifica o código e mostra uma prévia antes de abrir o conteúdo. O QR Code sozinho normalmente não instala um vírus apenas por ser enquadrado. O risco aumenta quando a pessoa abre o endereço, baixa um arquivo, instala um aplicativo, concede permissões ou informa dados em uma página maliciosa.

Em pagamentos, o código pode carregar as informações necessárias para iniciar uma transferência. Nesse caso, a principal barreira de segurança é a tela de confirmação do banco, onde aparecem o nome do recebedor, o valor e outros dados da operação.

O golpe funciona quando o criminoso consegue substituir um código legítimo ou convencer a vítima a escanear um código falso.

Como funciona o golpe do QR Code

Há duas formas principais de fraude. A primeira usa o QR Code como caminho para um site malicioso. A segunda adultera uma cobrança para desviar o pagamento.

QR Code que abre uma página falsa

O usuário escaneia o código e chega a uma página parecida com a de um banco, loja, serviço de entrega, estacionamento ou órgão público. O site pede login, CPF, senha, número do cartão ou código de autenticação.

As informações digitadas são enviadas ao golpista. Em alguns casos, a página também tenta convencer a pessoa a instalar um aplicativo ou permitir notificações no navegador.

Esse tipo de fraude é uma forma de phishing: o visual tenta transmitir legitimidade, enquanto o endereço real pertence ao criminoso.

QR Code de pagamento adulterado

Nessa versão, o código inicia um Pix destinado à conta errada. A vítima acredita que está pagando um restaurante, estacionamento, imposto, ingresso ou conta, mas o aplicativo bancário apresenta outro recebedor.

O golpista não precisa invadir o celular nem o sistema do banco. Basta fazer a vítima confirmar voluntariamente a transferência para os dados codificados na imagem falsa.

A Polícia Federal recomenda conferir os dados antes de pagar e dar preferência a QR Codes obtidos diretamente em sites e aplicativos oficiais.

Onde os códigos falsos costumam aparecer

Qualquer QR Code exposto publicamente pode ser substituído ou coberto por outro. Por isso, o contexto é tão importante quanto a leitura do código.

Cartazes, mesas e parquímetros

Um adesivo pode ser colado sobre o código verdadeiro de um cardápio, caixa de pagamento, estação de transporte, máquina de estacionamento ou ponto turístico.

Observe se há relevo, bordas, cola, recorte irregular ou diferença de impressão. Se o adesivo parecer improvisado, confirme com um funcionário antes de escanear.

Contas e documentos adulterados

Faturas, boletos e documentos de arrecadação podem ser falsificados com um novo QR Code. A aparência geral do documento pode estar correta, mas o pagamento seguir para outra conta.

Segundo o Banco Central, pagar um documento pelo QR Code Pix equivale, na prática, a fazer uma transferência Pix. Por isso, o nome do recebedor precisa ser verificado antes da autorização.

Para impostos e cobranças públicas, gere o documento dentro do portal oficial. Não use como primeira opção um QR Code recebido por WhatsApp, SMS ou e-mail.

Mensagens sobre entregas e encomendas

Uma mensagem informa que uma encomenda foi retida e exige o pagamento de uma pequena taxa por QR Code. O valor baixo reduz a desconfiança, mas a página também pode capturar dados bancários.

A Receita Federal alerta que não envia mensagens cobrando pagamentos para liberar encomendas. Quando a remessa chega pelos Correios, a consulta e eventual pagamento devem ser feitos na área oficial “Minhas Importações”.

Ingressos e eventos

O criminoso vende um ingresso inexistente, duplicado ou já utilizado. Nesse caso, o QR Code pode até ser tecnicamente válido, mas não garante que o vendedor seja legítimo nem que aquele ingresso continue disponível.

Evite comprar ingressos por prints enviados em conversas. Use plataformas autorizadas e verifique se existe um processo oficial de transferência de titularidade.

Promoções, brindes e pesquisas

Cartazes ou mensagens prometem desconto, prêmio, cupom ou acesso gratuito. Depois da leitura, a página solicita dados pessoais, pagamento de uma taxa ou instalação de um aplicativo.

Uma promoção legítima pode usar QR Code, mas deve ser confirmada no site ou perfil oficial da empresa. Pressa e promessa exagerada são sinais para interromper o processo.

Como verificar um QR Code antes de abrir

No Android e no iPhone, a câmera geralmente exibe uma prévia do endereço encontrado. Não toque imediatamente. Leia o domínio e observe se ele corresponde à empresa ou ao serviço esperado.

Considere estas verificações:

• Confira a escrita do domínio: golpistas usam letras trocadas, palavras adicionais e terminações incomuns.
• Desconfie de encurtadores: eles escondem o endereço final e dificultam a conferência.
• Observe a origem: um código presente no aplicativo oficial é mais confiável do que uma imagem recebida de um número desconhecido.
• Não se baseie apenas no cadeado: o HTTPS protege a conexão, mas também pode existir em um site falso.
• Evite instalar aplicativos: se a página exigir um APK ou programa fora da loja oficial, feche-a.
• Não conceda permissões desnecessárias: uma página de cardápio não precisa acessar seus contatos, arquivos ou microfone.

Um site falso pode copiar perfeitamente logotipo, cores e textos. O domínio e a ação solicitada são mais importantes do que a aparência visual.

O que conferir antes de pagar por QR Code

Quando o QR Code é lido pelo aplicativo bancário, a informação decisiva aparece na tela de confirmação. Antes de digitar a senha ou usar a biometria, verifique:

• nome do recebedor;
• CPF ou CNPJ apresentado pelo aplicativo;
• instituição financeira de destino;
• valor da cobrança;
• descrição ou identificação do pagamento;
• se o destinatário corresponde à empresa ou pessoa esperada.

Não aceite automaticamente explicações como “a conta está no nome do proprietário” ou “o pagamento vai para outra empresa do grupo”. Peça confirmação no caixa ou em um canal oficial.

O Banco Central explica que as informações apresentadas pelo sistema Pix permitem ao pagador confirmar a identidade do recebedor. Essa conferência precisa acontecer antes da autorização, pois um Pix concluído não possui um cancelamento simples.

Veja também nosso guia completo sobre golpes do Pix e como agir com segurança.

Preciso instalar um leitor de QR Code?

Na maioria dos celulares modernos, não. A câmera do sistema ou o próprio aplicativo bancário costuma ser suficiente.

Instalar um leitor desconhecido pode criar um risco desnecessário, principalmente quando o aplicativo solicita acesso a contatos, localização, arquivos ou outros dados que não são necessários para ler uma imagem.

Se o celular não reconhecer o código pela câmera, procure primeiro um recurso integrado, como o leitor disponível nos atalhos do sistema ou no aplicativo oficial relacionado à ação. Evite instalar o primeiro aplicativo sugerido por uma página aberta pelo próprio QR Code.

Cuidados especiais para empresas e estabelecimentos

Quem recebe pagamentos ou oferece cardápios por QR Code também precisa controlar os códigos expostos. Um adesivo adulterado pode causar prejuízo ao cliente e afetar a reputação do estabelecimento.

Algumas práticas ajudam:

• inspecionar diariamente códigos colocados em mesas, balcões e cartazes;
• usar material difícil de substituir sem deixar marcas;
• exibir o nome que deve aparecer como recebedor;
• orientar funcionários sobre adulterações;
• confirmar o pagamento no próprio sistema ou extrato;
• não confiar apenas no comprovante mostrado pelo cliente;
• retirar códigos antigos quando uma campanha terminar.

Também é útil oferecer uma alternativa, como endereço curto digitável, pagamento no caixa ou consulta pelo aplicativo oficial.

Escaneei um QR Code suspeito: o que fazer?

A resposta depende do que aconteceu depois da leitura.

Somente abriu a prévia

Se você não abriu o endereço nem informou dados, feche a notificação. Apenas enquadrar o código, normalmente, não significa que o aparelho foi comprometido.

Abriu o site, mas não preencheu nada

Feche a página e não aceite downloads ou notificações. Verifique a pasta de downloads e apague qualquer arquivo obtido sem intenção. Mantenha o navegador e o sistema atualizados.

Informou login, senha ou cartão

Troque imediatamente a senha pelo aplicativo ou site oficial. Se a senha for reutilizada, altere-a também nas outras contas. Avise o banco ou a operadora do cartão e monitore movimentações.

Ative a autenticação em dois fatores e nunca compartilhe códigos recebidos por SMS ou aplicativo. Se o problema envolver outras contas, siga nosso passo a passo sobre o que fazer depois de cair em um golpe digital.

Instalou um aplicativo

Desconecte o aparelho da internet, principalmente se o aplicativo ganhou acesso à tela ou aos recursos de acessibilidade. Use outro dispositivo confiável para trocar senhas e contatar o banco. Depois, procure suporte técnico seguro para avaliar o celular.

Fez um Pix para o destinatário errado

Avise imediatamente sua instituição financeira pelos canais oficiais e conteste a transação como fraude. Solicite orientação sobre o Mecanismo Especial de Devolução, o MED, e guarde o QR Code, comprovante, mensagens, endereço da página e demais provas.

O MED pode ser solicitado em casos de golpe, fraude ou crime, mas não garante o retorno do dinheiro. Quanto mais rápida for a comunicação, maior a possibilidade de ainda existirem recursos que possam ser bloqueados.

Conclusão

QR Codes legítimos são seguros e convenientes. O problema surge quando um código adulterado esconde um link malicioso ou direciona o pagamento para a conta de um golpista.

Antes de abrir, confira o endereço mostrado pelo celular. Antes de pagar, leia o nome do recebedor, a instituição e o valor. Em locais públicos, observe se há um adesivo colado sobre o código original. Para contas, impostos e entregas, gere a cobrança dentro do aplicativo ou site oficial.

Essa verificação leva poucos segundos e não elimina a praticidade da tecnologia. Pelo contrário: permite usar o QR Code sem transformar uma ação automática em perda de dados ou dinheiro.

Perguntas frequentes

Todo QR Code pode ser perigoso?

Não. A maioria dos códigos é legítima. O risco depende da origem, do conteúdo codificado e da ação realizada depois da leitura.

Escanear um QR Code instala vírus automaticamente?

Normalmente, não. O código costuma apenas apresentar um link ou uma ação. O risco aumenta quando você abre uma página maliciosa, baixa arquivos, instala aplicativos ou concede permissões.

Como saber se um QR Code de pagamento é falso?

Não é possível confirmar apenas olhando a imagem. Leia o código pelo aplicativo bancário e confira o nome do recebedor, CPF ou CNPJ, instituição e valor antes de autorizar.

Posso usar QR Code recebido pelo WhatsApp?

É melhor confirmar a origem por outro canal. Para cobranças oficiais, acesse diretamente o aplicativo ou site da empresa e gere o código novamente.

O cadeado no navegador comprova que o site é verdadeiro?

Não. O cadeado indica que a conexão é criptografada, mas um site falso também pode usar HTTPS. Confira o domínio completo e a legitimidade da página.

O que fazer depois de pagar um QR Code falso?

Contate imediatamente o banco, conteste a transação, solicite orientação sobre o MED, preserve as provas e registre um boletim de ocorrência.