Golpe do QR Code colado sobre outro: como identificar antes de pagar
Você está em um restaurante, estacionamento, loja ou outro estabelecimento e encontra um QR Code para realizar o pagamento. O código parece estar no lugar correto, mas existe um detalhe: alguém pode ter colocado um adesivo com outro QR Code sobre o original.
Ao escanear o código adulterado, o celular não tem como saber que aquele adesivo foi colocado por um criminoso. Se o QR Code contiver dados para um Pix, o aplicativo bancário poderá preparar normalmente uma transferência para a conta definida pelo fraudador.
É por isso que a principal proteção contra o golpe do QR Code colado sobre outro acontece antes da confirmação. Além de observar fisicamente o código, é fundamental conferir no aplicativo bancário quem receberá o dinheiro.
O Banco Central recomenda verificar sempre o nome do beneficiário antes de confirmar uma operação Pix.
Como funciona o golpe do QR Code adulterado
O QR Code é apenas uma maneira de representar informações que serão interpretadas pelo celular. No Pix, a leitura de um QR Code é uma das formas disponíveis para iniciar um pagamento.
Isso significa que dois códigos visualmente semelhantes podem levar a destinatários completamente diferentes.
Em uma fraude física, o criminoso pode criar seu próprio QR Code e colocá-lo sobre aquele utilizado legitimamente pelo estabelecimento. A vítima acredita estar escaneando o código da loja, mas os dados lidos são os do adesivo fraudulento.
A adulteração é especialmente perigosa em locais onde códigos ficam expostos e acessíveis ao público.
Depois da leitura, porém, ainda existe uma etapa decisiva: a tela de confirmação do pagamento.
Observe se existe um adesivo sobre o código original
Antes de apontar a câmera, faça uma inspeção rápida.
Um QR Code colocado sobre outro pode deixar sinais físicos. Observe se o papel apresenta espessura diferente, bordas de adesivo, desalinhamento ou impressão que não combina com o restante do material.
Passe os olhos principalmente pelas extremidades do código.
Se parecer que existe uma etiqueta sobre a placa, cardápio, máquina, cartaz ou documento original, não realize o pagamento até confirmar com o estabelecimento.
Entretanto, a ausência desses sinais não garante que o QR Code seja legítimo. Uma substituição bem-feita pode ser difícil de perceber visualmente.
Por isso, a inspeção física funciona como uma camada adicional de proteção, não como a verificação definitiva.
Confira o destinatário antes de confirmar o Pix
Esta é uma das verificações mais importantes.
Depois de escanear o QR Code, não confirme imediatamente. Leia as informações exibidas pelo aplicativo bancário.
O Banco Central orienta os usuários a verificarem sempre o nome do beneficiário antes de confirmar uma operação. A instituição também recomenda desconfiar de situações envolvendo pressão ou urgência.
Se você está pagando uma empresa conhecida e aparece uma pessoa ou organização que não reconhece, interrompa a operação e pergunte ao estabelecimento.
É importante considerar que alguns negócios utilizam intermediadores de pagamento. Portanto, um nome diferente não comprova sozinho que existe fraude. Nesse caso, peça ao funcionário que confirme quem deve aparecer como recebedor.
Não aceite simplesmente a explicação de que “o sistema está assim”. Antes de enviar o dinheiro, esclareça a divergência.
Confira também o valor
O destinatário não é a única informação importante.
Confira se o valor mostrado pelo banco corresponde ao preço que deveria ser pago. Dependendo do tipo de QR Code utilizado, determinadas informações da cobrança podem ser apresentadas automaticamente.
Se o valor estiver diferente, não tente corrigir a situação por conta própria sem entender o motivo.
Solicite outro meio de pagamento ou peça ao estabelecimento que gere novamente a cobrança.
A alguns segundos da confirmação, a pergunta deve ser simples: o aplicativo mostra o valor e o recebedor que eu esperava encontrar?
Se a resposta for não, interrompa.
O funcionário também pode confirmar o recebedor
Em um estabelecimento físico, existe uma vantagem importante: normalmente há alguém disponível para confirmar a cobrança.
Antes de pagar um QR Code que parece suspeito, pergunte qual nome deverá aparecer como beneficiário no aplicativo.
Essa confirmação é especialmente útil quando a razão social é diferente do nome utilizado na fachada.
Por exemplo, um restaurante pode utilizar um nome comercial conhecido pelos clientes, enquanto o pagamento aparece associado à razão social da empresa ou a um intermediador.
O que não deve acontecer é o consumidor ignorar uma divergência simplesmente porque já escaneou o código.
Cuidado com QR Codes em boletos e cobranças impressas
A mesma atenção vale para documentos.
O Banco Central alerta que, quando um documento possui QR Code de Pix, o pagamento realizado por ele é instantâneo para a conta destinatária. Na prática, pagar o QR Code representa fazer um Pix.
Ao pagar boletos, o BC também recomenda verificar as informações do beneficiário apresentadas no momento do pagamento e interromper a operação quando houver divergências.
Portanto, receber um documento aparentemente legítimo não elimina a necessidade de conferir a tela final.
Se o boleto ou cobrança foi recebido por e-mail, mensagem ou outro canal digital, confirme também se veio de uma fonte legítima.
Um QR Code pode levar para um site falso
Nem todo QR Code serve para pagamento.
Alguns apenas abrem páginas na internet. Nesse cenário, a substituição do código pode levar a vítima para um endereço fraudulento que imita o site de uma empresa.
O usuário pode então ser induzido a informar dados pessoais, credenciais ou informações financeiras.
Se o QR Code deveria abrir um cardápio, página de estacionamento ou sistema de pagamento e o navegador apresenta um endereço estranho, não continue.
Não digite senha bancária, código recebido por SMS ou informações completas de cartão em uma página apenas porque ela foi aberta por um QR Code encontrado em local público.
Quando houver dúvida, procure o site ou aplicativo oficial da empresa por conta própria.
QR Code recebido por mensagem também exige cuidado
O risco não está restrito aos adesivos físicos.
Criminosos podem enviar QR Codes por SMS, aplicativos de mensagens, e-mail e páginas falsas. A Receita Federal, por exemplo, alerta para fraudes envolvendo falsas cobranças de encomendas e orienta consumidores a utilizarem os sites ou aplicativos oficiais das empresas envolvidas em vez de realizar pagamentos por links ou códigos recebidos em mensagens suspeitas.
Portanto, a pergunta não deve ser apenas “esse QR Code funciona?”.
Um código fraudulento pode funcionar perfeitamente.
A questão correta é: quem forneceu esse código e para onde ele está me levando?
O que fazer se perceber um adesivo suspeito
Não realize o pagamento.
Se estiver em um estabelecimento, avise um funcionário ou responsável antes que outras pessoas utilizem o mesmo código.
Não é necessário arrancar ou destruir imediatamente o adesivo por conta própria. O estabelecimento pode precisar preservar o material para entender o ocorrido e eventualmente registrar evidências.
Se possível, utilize outro meio de pagamento confirmado diretamente com o estabelecimento.
Caso o QR Code esteja em equipamento, placa ou documento de uma empresa, procure um funcionário ou canal oficial para relatar a situação.
E se você só perceber depois de pagar?
Se o Pix já foi realizado e você descobrir que o dinheiro foi enviado para um fraudador, entre em contato imediatamente com seu banco.
O Banco Central informa que vítimas de golpe envolvendo Pix devem comunicar rapidamente a instituição financeira e solicitar a devolução pelo Mecanismo Especial de Devolução, o MED. Todas as instituições participantes devem oferecer acesso ao mecanismo pelo aplicativo.
O MED permite a análise da ocorrência e pode resultar no bloqueio e na devolução integral ou parcial de recursos quando a fraude é confirmada e existem valores disponíveis. Entretanto, o mecanismo não garante que o dinheiro será recuperado.
O Ministério da Justiça também orienta vítimas de falso Pix a entrarem imediatamente em contato com seus bancos pelos canais oficiais e registrarem um Boletim de Ocorrência.
Preserve comprovantes, fotografias do QR Code adulterado, mensagens, dados da transferência e outras informações relacionadas ao ocorrido.
A tela de confirmação é sua última oportunidade de conferir
A aparência de um QR Code não revela quem receberá o dinheiro. Mesmo um adesivo perfeitamente impresso pode direcionar o pagamento para uma conta diferente da esperada.
Por isso, a melhor proteção combina duas verificações.
Primeiro, observe se o QR Code físico apresenta sinais de adulteração, como adesivos, bordas ou sobreposição. Depois, faça a verificação mais importante: confira os dados apresentados pelo banco antes de autorizar o Pix.
O Banco Central reforça justamente a necessidade de conferir o beneficiário antes da confirmação.
Se o nome, o valor ou qualquer outra informação não fizer sentido, não confirme por impulso. Pergunte ao estabelecimento, gere uma nova cobrança ou utilize outro meio de pagamento.
Alguns segundos de conferência antes de tocar em “confirmar” podem impedir que um QR Code aparentemente normal transforme um pagamento cotidiano em uma transferência para um golpista.