A Federação Brasileira de Bancos (Febraban) emitiu um alerta nacional sobre o golpe do QR Code falso, modalidade em que criminosos adulteram códigos de pagamento em sites, boletos e lojas físicas no Brasil. O comunicado publicado na terça-feira (20) aponta que a fraude, conhecida tecnicamente como quishing, desvia valores transferidos por clientes diretamente para contas bancárias controladas por quadrilhas.
O termo quishing define uma variação do phishing (técnica de fraude digital usada para enganar usuários e obter dados ou dinheiro) aplicada especificamente à leitura de códigos de resposta rápida. Segundo o diretor de Serviços e Segurança da Febraban, Raphael Mielle, a conferência prévia das informações na tela do celular impede a conclusão do roubo. “Antes de concluir qualquer pagamento por QR Code, é fundamental conferir os dados exibidos pelo aplicativo da instituição financeira, principalmente o nome do recebedor e o valor da transação. Essa simples verificação pode revelar uma adulteração antes que o dinheiro seja transferido”, afirmou Mielle.
Como o golpe do QR Code funciona no comércio físico e em páginas da internet?
A ação dos fraudadores ocorre tanto no ambiente digital quanto no comércio presencial de cidades brasileiras, adaptando a abordagem conforme o local da compra. Nos estabelecimentos físicos, como bares, restaurantes, feiras livres e estacionamentos, os criminosos atuam colando adesivos com códigos falsos exatamente por cima das placas ou impressos legítimos disponibilizados pelos comerciantes no caixa ou nas mesas. Quando o consumidor aponta a câmera do telefone para quitar a despesa do serviço consumido, o sistema lê o adesivo sobreposto e direciona a transferência bancária para a conta dos golpistas, sem que o lojista receba o valor devido.
Leia também: Pix e TIPS: Banco Central se reúne com o BCE na Alemanha para avaliar integração de pagamentos instantâneos
No comércio eletrônico, a adulteração explora falhas de segurança em páginas de vendas na internet. Os golpistas invadem sistemas vulneráveis para substituir apenas a imagem do código de pagamento gerado no fechamento do pedido, mantendo o restante do visual da página e os dados da mercadoria inalterados para não levantar suspeitas no comprador. Outra frente de atuação identificada pela entidade bancária consiste na criação de páginas inteiras falsas que reproduzem o padrão visual de lojas conhecidas para atrair vítimas por meio de promoções inexistentes.
Entenda: Banco Central libera Pix Automático no salário e pune instituições
Adulteração de boletos no golpe do QR Code e decisões no Judiciário
Os criminosos também aplicam a fraude em boletos impressos de cobrança que oferecem a opção de quitação rápida por imagem. Nessa variação do crime, o documento passa por uma adulteração prévia em que o QR Code original da empresa credora é trocado por um código gerado pelos fraudadores. Diferentemente da leitura do código de barras tradicional, que possui um prazo de compensação bancária de até alguns dias úteis para processar a transferência entre instituições, o pagamento iniciado pela leitura do QR Code impresso no boleto opera na prática como um Pix, enviando o dinheiro de forma instantânea para a conta indicada pela quadrilha.
Continue lendo: Mecanismo Especial de Devolução do Banco Central permite recuperar Pix errado ou de golpe em até 80 dias
O avanço das fraudes documentais de cobrança reflete nos registros do Poder Judiciário estadual. Entre os meses de junho de 2025 e agosto de 2026, o Tribunal de Justiça de São Paulo (TJ-SP) registrou 1.041 decisões judiciais relacionadas especificamente a processos sobre golpes do falso boleto bancário.
Relembre: Itaú Unibanco libera pagamento via Pix com pontos no aplicativo
Orientações da Febraban contra o golpe do QR Code
Para barrar o envio de recursos a contas de terceiros no comércio presencial, a entidade bancária destaca a necessidade de inspeção visual das placas de cobrança. “Em ambientes físicos, o consumidor também deve observar o próprio código antes da leitura e desconfiar de adesivos sobrepostos ou sinais de alteração”, declarou Raphael Mielle. Além da checagem visual da placa e da conferência obrigatória do nome do destinatário e da quantia exata no aplicativo do banco, a instituição listou medidas práticas de segurança para compras presenciais e digitais:
- Acessar exclusivamente os endereços eletrônicos oficiais das lojas ao iniciar compras pela internet, conferindo a grafia na barra do navegador.
- Não iniciar pagamentos ou cadastros a partir de links recebidos por correio eletrônico, aplicativos de mensagens ou publicações em redes sociais.
- Desconfiar de ofertas com preços muito abaixo do mercado ou de abordagens de vendedores que pressionem o cliente a realizar a transferência de forma imediata.
- Utilizar a verificação pelo aplicativo bancário mesmo quando o boleto impresso apresentar aparência legítima e logotipos corretos.
Caso os dados exibidos na tela de confirmação do aplicativo bancário apresentem divergência em relação à loja ou ao valor acordado na compra, a recomendação oficial da Febraban em seu alerta de 20 de outubro de 2026 é interromper a operação no celular imediatamente e acionar a empresa credora apenas pelos canais oficiais de atendimento.
