Golpe do QR Code: o que o código esconde e como conferir antes

O que é o golpe do QR Code

O golpe do QR Code é qualquer fraude que usa um código para levar você a um lugar onde não pretendia ir. Na maioria das vezes o código abre uma página que imita uma loja, um estacionamento, uma transportadora ou um banco, e essa página pede uma senha, um número de cartão ou um pagamento. Em outra versão, o código é de pagamento e já carrega a conta do golpista como destino.

O código em si não é a parte perigosa. Ele é só uma forma de escrever um endereço que os olhos não leem e a câmera lê. Tudo o que faz o golpe funcionar acontece depois: uma página conhecida, um motivo para ter pressa e um campo esperando um dado seu. Por isso esse não é um tipo novo de fraude, e sim a mensagem falsa de sempre com outra embalagem.

Vale dizer que o estabelecimento cujo código foi coberto também é vítima. O estacionamento, a padaria, o restaurante ou a prefeitura não mandaram você a lugar nenhum, e quem trabalha no balcão geralmente nem sabe que existe um adesivo estranho na placa.

No pagamento, a tela mostra quem vai receber

Aqui o Brasil tem uma vantagem que vale usar. Quando o QR Code é de pagamento por Pix, o aplicativo do banco exibe, antes da confirmação, o nome de quem vai receber e o CPF ou CNPJ correspondente. Essa tela é a checagem mais forte que existe nesse assunto, porque ela não depende da aparência do código nem da página onde ele estava.

Foi exatamente isso que o Procon-SP recomendou em 12 de setembro de 2026, ao alertar sobre uma fraude que altera o QR Code, e também a opção de copia e cola, nas páginas de pagamento de lojas virtuais. A orientação do órgão é conferir se o nome e o CNPJ que aparecem no aplicativo correspondem à empresa onde a compra foi feita ou à instituição de pagamento indicada durante o processo. Se aparecer um destinatário desconhecido, sem relação com a loja, o pagamento não deve ser concluído.

Três observações práticas sobre essa tela:

• Nome de pessoa física numa compra de loja é o sinal mais direto de que alguma coisa foi trocada no caminho.
• Nome de instituição de pagamento aparece com frequência em compras online e não indica fraude por si só, desde que seja a empresa indicada durante o pagamento.
• O valor também está ali. Confira antes de confirmar, porque o código pode ter sido trocado por outro com valor diferente.

O CERT.br, centro que trata incidentes de segurança na internet brasileira, dá a mesma orientação no fascículo Banco via Internet: conferir com atenção todos os dados do pagamento e se quem vai receber é realmente o estabelecimento escolhido.

O adesivo colado sobre o código verdadeiro

A versão física do golpe é um adesivo impresso e colado em cima de um código que um estabelecimento real colocou ali. Qualquer código deixado sozinho em lugar público pode receber um segundo código por cima, e o lugar mais visado é justamente onde pagar com pressa é normal.

• Placas e totens de estacionamento, onde já se espera pagar uma taxa e ninguém quer demorar.
• Cardápios, mesas e balcões, onde o código é pequeno e a luz costuma ser ruim.
• Cartazes, folhetos e faixas de rua, que qualquer pessoa pode imprimir e qualquer pessoa pode alterar.
• Avisos colados em portaria, elevador ou mural de condomínio.
• Papéis deixados junto com uma encomenda ou em armário de retirada.

Os sinais que dá para ver

Em código colado, o indício é físico. Um adesivo com acabamento diferente do restante da placa, uma ponta descolando, um papel colado por cima de outro impresso, um código que parece aplicado depois e não impresso junto com a arte. Se dá para levantar um canto com a unha, ele foi acrescentado.

Quando a dúvida aparecer, existe quase sempre uma alternativa no mesmo lugar: pagar no próprio equipamento, no caixa, ou pelo aplicativo oficial do estacionamento que você mesmo abriu. Vale também avisar quem trabalha ali, porque um adesivo pode ser retirado em minutos se alguém contar que ele está lá.

O código que chega numa mensagem que você não pediu

A segunda versão chega pela tela: um código dentro de um SMS, de um e-mail, de uma mensagem ou até de uma carta impressa. A mensagem sempre traz um motivo para ler o código agora, e o motivo costuma ser um problema pequeno com prazo curto.

A Receita Federal descreve esse formato na página É Golpe?, dedicada às fraudes com encomendas internacionais. O órgão afirma que nunca liga nem manda mensagem cobrando pagamento para liberar encomenda, e que não recebe pagamento por link, por QR Code nem por aplicativo de mensagem. É uma frase curta que fecha uma família inteira de golpes.

Carta impressa com código merece um parágrafo próprio, porque papel passa uma impressão de coisa oficial. Isso não muda nada: qualquer pessoa pode imprimir uma carta, e um código impresso nela pode apontar para qualquer lugar. A checagem continua a mesma.

Se a mensagem chegou por SMS, o formato é o mesmo do golpe que chega por mensagem de texto, com o código no lugar do link.

Como conferir um código antes de abrir ou pagar

A checagem é sobre o endereço e sobre o destinatário, não sobre o desenho do quadrado. A maioria das câmeras de celular mostra o endereço numa faixa antes de abrir qualquer coisa, e essa prévia é a defesa principal.

1. Olhe o adesivo primeiro, quando o código estiver em lugar público. Se estiver colado sobre outro código ou descolando nas pontas, não leia. Pague no equipamento, no caixa ou pelo aplicativo oficial.
2. Leia o endereço na prévia antes de tocar. Comece pelo fim do nome do site, no trecho que vem logo antes da primeira barra. Aquilo é o site de verdade. Um endereço comprido com o nome de uma empresa conhecida no meio não é o site dessa empresa.
3. Trate link encurtado como endereço ilegível. Se a prévia só mostra um encurtador, não dá para saber para onde vai, e a checagem falhou. Feche.
4. Procure o canal oficial por conta própria quando algo for pedido de você. Digite o endereço da empresa no navegador ou abra o aplicativo que você já tinha instalado, e veja se o mesmo aviso aparece lá dentro.
5. No pagamento por Pix, leia o nome e o CPF ou CNPJ de quem recebe, junto com o valor, antes de confirmar.
6. Pare no primeiro pedido de senha, de número de cartão ou de pagamento. É onde a página falsa recolhe o que veio buscar, e é onde fechar a aba não custa nada.

Se a prévia não aparecer, se a página pedir login assim que abre ou se surgir uma contagem regressiva, feche e recomece pelo site verdadeiro da empresa. Os cuidados são os mesmos de conferir um link antes de abrir, porque no fundo é isso que um código é.

O que fazer se você já leu o código

Ler o código, sozinho, costuma não causar prejuízo. O que importa é se alguma informação foi digitada ou se um pagamento foi confirmado. Comece pelo que está mais exposto.

1. Se pagou por Pix, abra o aplicativo do banco e conteste a transação. Desde 1º de outubro de 2025 todo banco que oferece Pix precisa ter essa opção dentro do próprio aplicativo, o que o Banco Central chama de autoatendimento do MED, e o caminho completo está em o que fazer quando o Pix já foi feito. Quanto antes, maior a chance de ainda haver saldo na conta de destino.
2. Se digitou dados do cartão, ligue para o emissor pelo número do verso do cartão ou pelo chat do aplicativo. Peça o bloqueio, a troca do número e o acompanhamento das próximas compras.
3. Troque a senha de qualquer conta em que você tenha entrado na página aberta pelo código. Faça isso pelo aplicativo ou pelo site verdadeiro, nunca voltando pelo mesmo link, e troque também onde a senha se repetia.
4. Ative a verificação em duas etapas nessa conta, para que a senha sozinha não baste. Se você aprovou um aviso de login ou digitou um código recebido por mensagem, confira a lista de aparelhos conectados.
5. Acompanhe o extrato e a fatura nas semanas seguintes. Cobranças pequenas e desconhecidas costumam vir antes de tentativas maiores.
6. Guarde a evidência. Fotografe o adesivo ou o cartaz, salve a mensagem e anote o endereço que o código abriu.

Onde registrar e para quem avisar

Vale registrar em dois lugares: no poder público, para o caso entrar na estatística e na investigação, e no estabelecimento cujo código ou nome foi usado, para que ele possa retirar o adesivo ou avisar os clientes.

• Ocorrência policial. Pode ser registrada na Polícia Civil ou, nos estados que aderiram, pela delegacia virtual do gov.br.
• Banco ou instituição de pagamento, pelos canais oficiais, com o protocolo anotado.
• Consumidor.gov.br, quando existe uma relação de consumo envolvida. É um serviço público e gratuito, e o Procon do seu estado é o passo seguinte se não houver solução.
• O estabelecimento. Um estacionamento, um restaurante ou uma prefeitura consegue retirar um adesivo no mesmo dia se alguém contar onde ele está.

Sobre denunciar o SMS que trouxe o código

Aqui cabe uma informação que evita procura inútil: não existe no Brasil um número único para reencaminhar mensagem de golpe, como acontece em alguns outros países. O que dá para fazer é bloquear o número no próprio celular, marcar a mensagem como spam no aplicativo em que ela chegou e, quando o problema envolver a operadora, usar os canais da Anatel: o aplicativo Anatel Consumidor, o portal da agência ou o telefone 1331.

O que essa checagem não resolve

Ler o endereço antes de abrir e o nome de quem recebe antes de pagar pega a maior parte desses casos. Não pega todos, e vale saber onde a linha está.

A prévia às vezes é curta demais e esconde o fim do endereço, e existem endereços montados para parecerem quase certos. Uma página também pode redirecionar depois de aberta, então o que você leu na prévia nem sempre é onde você termina.

Código impresso muito pequeno, em luz ruim, é difícil de examinar com calma. É justamente onde ficam os códigos de cardápio e de estacionamento.

E nada disso devolve dinheiro já enviado. Pagamento por Pix tem o caminho da contestação no aplicativo, que é um procedimento real, com análise e prazo, e não uma promessa de devolução. Compra no cartão tem o caminho da contestação com o emissor, que também depende dos fatos e do tempo. Quem aparecer prometendo recuperar o valor mediante taxa está aplicando um segundo golpe.

Uma última coisa. Esses códigos são colados exatamente nos lugares onde ter pressa é o normal, e impressos para parecer parte da placa que eles cobrem. Ler um deles não diz nada sobre quem leu.

Fontes consultadas

Consulta feita em 23/09/2026.

• Procon-SP, alerta de 12 de setembro de 2026: fraude que altera o QR Code e o copia e cola do Pix em páginas de pagamento, e a orientação de conferir nome e CNPJ de quem recebe.
• CERT.br, fascículo Banco via Internet: conferir todos os dados do pagamento e se o estabelecimento escolhido é quem vai receber.
• Receita Federal, página É Golpe?: o órgão não cobra pagamento por link, por QR Code nem por aplicativo de mensagem para liberar encomenda.
• Anatel: canais oficiais de atendimento e denúncia, aplicativo Anatel Consumidor, portal e telefone 1331.
• Banco Central: a contestação de Pix por golpe dentro do aplicativo, obrigatória desde 1º de outubro de 2025.
• gov.br: registro de ocorrência policial online.
• Consumidor.gov.br: serviço público e gratuito de reclamação.

Perguntas frequentes