Golpe do QR code: como conferir antes de pagar o Pix

Adesivo sobre o código, loja alterada ou boleto trocado: veja o que conferir antes de pagar o Pix, segundo a Febraban, e o que fazer se já pagou.

Por Redação Eleven Host · @robson.direitodigital · 26 de outubro de 2026 · 7 min de leitura

No golpe do QR code, criminosos podem pôr um código falso no lugar do legítimo para desviar o seu pagamento. Antes de pagar o Pix, veja no aplicativo do banco o nome de quem vai receber e compare com a empresa que está cobrando.

Em outubro de 2026, a Febraban, a Federação Brasileira de Bancos, divulgou um alerta sobre o tema, publicado pela Folhapress. Em setembro, o Diário do Pará já havia explicado como identificar um código falso antes de escanear. Este guia reúne o que as duas reportagens apontam e os passos para quem já escaneou ou pagou.

Onde o código falso aparece

Segundo a Folhapress, que reproduz o alerta da Febraban, no mundo físico "criminosos podem colar um adesivo com um QR Code falso sobre o código original do estabelecimento". O Diário do Pará cita mesas de restaurante e cartazes como exemplos, e o Procon-ES, citado pela reportagem, fala em códigos falsos sobre os legítimos em pontos de pagamento.

No ambiente digital, a Febraban descreve dois caminhos. No primeiro, os criminosos alteram os dados de pagamento de uma página de loja online. No segundo, criam um site falso que imita o de uma loja conhecida. A entidade cita também o boleto, em que o código pode ter sido substituído para direcionar o valor a uma conta controlada pelos criminosos.

O Diário do Pará acrescenta que o código falso pode aparecer em e-mail, SMS, aplicativo de mensagens ou cobrança. O destino pode ser uma página falsa, um Pix adulterado ou um site criado para roubar senhas.

Se o seu caso é o boleto em papel ou em PDF, há um guia próprio: Golpe do boleto falso: como conferir antes de pagar. Aqui o foco é o código lido pela câmera do celular. Se a mensagem de texto fala de Pix, o assunto é outro: Golpe SMS Pix: devolvido, pendente e limite falso.

Por que o código falso é difícil de perceber

A Febraban afirma que o código falso pode substituir o legítimo sem que o restante da página ou do documento apresente alterações evidentes. Na prática, o cartaz, a tela da loja ou o papel podem parecer normais à primeira vista.

A reportagem também lembra que o HTTPS não prova que o endereço pertence à empresa. A conferência recomendada pelas fontes olha para o destino do pagamento: endereço, recebedor e valor.

O que conferir antes de confirmar o Pix

As duas fontes apontam verificações semelhantes. Veja estas verificações antes de confirmar:

1. Veja o endereço que o celular mostra. O Diário do Pará recomenda olhar o endereço antes de abrir a página.
2. Confira o nome do recebedor. A Febraban orienta ver, no aplicativo do banco, o nome de quem vai receber e comparar com a empresa cobrada.
3. Veja o CPF ou o CNPJ. O Diário do Pará lista o documento entre os dados a conferir, junto com a instituição financeira de destino.
4. Compare o valor. Ele precisa corresponder à compra que você está fazendo.
5. Se algo não bater, pare. A Febraban orienta interromper o pagamento e confirmar os dados com o estabelecimento por um canal oficial. O Banco Central, citado pelo Diário do Pará, recomenda em caso de dúvida interromper a transação e usar os canais oficiais do banco.

Se o endereço mostrado pelo celular parecer estranho, o guia Como verificar se um link é seguro antes de clicar explica como conferir um endereço antes de clicar.

Sinais de alerta no ponto de pagamento e na tela

Os sinais abaixo vêm das orientações da Febraban e do Diário do Pará:

• Adesivo sobreposto ou sinais de alteração no local onde o código está.
• Código colocado em lugar incomum.
• Domínio com letras trocadas, palavras estranhas ou endereço que não corresponde ao serviço esperado.
• Cobrança inesperada, promessa de prêmio ou desconto muito vantajoso.
• Link recebido por mensagem ou rede social levando a uma loja. A Febraban recomenda acessar diretamente a página oficial da loja.

Se algum desses sinais aparecer, volte à lista de conferência acima antes de pagar.

Quando um site pede o seu celular só para um cadastro

Algumas lojas online e serviços pedem um número de celular logo no primeiro cadastro. Para uma compra única ou um teste, vale decidir antes de preencher o formulário qual número você quer deixar ali.

Vai se cadastrar em um site e prefere não passar o seu celular? O 11SMS oferece número temporário para cadastros pontuais em outros sites, sem expor o seu número pessoal. Conhecer o 11SMS

O que fazer conforme o que aconteceu

Os passos dependem de até onde você foi. As orientações abaixo vêm do Diário do Pará e da Febraban.

Escaneou, mas a página não abriu

Segundo o Diário do Pará, o passo é interromper a ação e não prosseguir.

Abriu uma página suspeita

Não informe senhas, dados pessoais ou bancários, não baixe arquivos e não instale aplicativos.

Digitou uma senha

Troque a senha logo, pelo site ou aplicativo oficial do serviço, e ative a autenticação em duas etapas, se o serviço oferecer.

Fez o Pix ou passou dados bancários

Fale com a sua instituição financeira o quanto antes, pelos canais oficiais, e peça a contestação. No caso do Pix, peça o MED, o Mecanismo Especial de Devolução. Segundo a Febraban, o pedido deve ser feito à instituição financeira em até 80 dias após a transação.

Registre um boletim de ocorrência e guarde o comprovante, o boleto ou a página usada, além de mensagens e outros registros que ajudem a demonstrar como a fraude aconteceu.

A reportagem da Folhapress avisa que não há garantia de devolução total: se os criminosos já sacaram o dinheiro, a vítima pode não recuperar tudo. Para o roteiro completo de quem tocou em link ou informou dados, veja Cliquei no link falso: o que fazer agora, passo a passo.

Para quem tem loja ou recebe por QR code

A Febraban descreve o caso em que criminosos alteram os dados de pagamento de uma página. Como sugestão da Redação, quem vende pela internet pode incluir a página de pagamento da loja entre os pontos a conferir. As dicas abaixo são orientação da Redação; a segunda segue a recomendação da Febraban.

• Sugestão da Redação: abra a sua própria página de pagamento de tempos em tempos e confira se os dados de recebimento são os seus.
• Oriente quem compra a acessar diretamente a página oficial da loja, e não links recebidos por mensagens ou redes sociais, como recomenda a Febraban.
• Se o cliente avisar que o nome do recebedor não bate com o da empresa, trate o aviso com atenção e confira os dados.

Em loja física, a Febraban cita o adesivo colado sobre o código original. A Redação sugere olhar também o local onde o código fica exposto.

Um número separado para cadastros pontuais

Precisa de um número temporário para um cadastro pontual em outro site? O 11SMS só recebe SMS e mantém o seu número pessoal fora do cadastro. Acessar o 11SMS

Perguntas frequentes

Dá para saber pela aparência se um QR code é falso?

Segundo o Diário do Pará, não existe uma característica visual única que permita afirmar que determinado código é falso. Confira o endereço mostrado e os dados do recebedor.

Escaneei o código e nada abriu. Corro algum risco?

O Diário do Pará orienta interromper a ação e não prosseguir. Se uma página abrir, não informe senhas nem dados e não baixe arquivos.

Paguei um Pix para o código errado. Em quanto tempo peço o MED?

Segundo a Febraban, o pedido deve ser feito à instituição financeira em até 80 dias após a transação. Procure o banco pelo canal oficial o quanto antes e guarde os comprovantes.

Vou receber o dinheiro de volta?

Não há garantia de devolução total, segundo a reportagem da Folhapress sobre o alerta da Febraban. Se os criminosos já sacaram o valor, a vítima pode não recuperar tudo.