Um QR Code não é um selo de legitimidade. Ele apenas codifica dados — e um golpista pode trocar o código impresso de uma placa, colar um adesivo sobre um cartaz ou enviar um boleto adulterado para fazer o pagamento chegar a outra conta. Se a intenção é pagar com Pix, o ponto de controle mais seguro não é “abrir o QR” no navegador: é iniciar a leitura dentro do aplicativo do seu banco e usar a tela de confirmação como barreira antes do dinheiro sair.
O Banco Central exige que a jornada do Pix permita ao pagador conferir informações do destinatário antes da confirmação. Dependendo da jornada, aparecem dados como nome, CPF/CNPJ, valor e outras informações da cobrança, além da possibilidade de desistir antes de concluir. O próprio BC também recomenda verificar sempre o nome do beneficiário antes de confirmar uma operação. A regra prática é simples: se recebedor, valor ou contexto não baterem, cancele e volte ao canal oficial.
Como conferir um QR Code sem abrir um link suspeito
Um QR Code pode conter tipos diferentes de informação: texto, um endereço de site ou um payload de pagamento. Por isso, não dá para descobrir visualmente o destino olhando apenas para os quadrados do código.
Quando a finalidade é pagar por Pix, abra primeiro o app do banco ou da instituição de pagamento, entre em Pix e escolha a opção de ler QR Code. Se o código for um QR Pix válido, o aplicativo interpreta os dados e conduz a transação dentro da jornada de pagamento. Em QR Codes dinâmicos, pode existir uma location técnica que o próprio provedor usa para buscar os dados da cobrança; isso não exige que você abra esse endereço manualmente no navegador.
Se, em vez de uma cobrança Pix, a câmera do celular mostrar um site, encurtador ou página externa, trate aquilo como um link, não como prova de que a cobrança é legítima. Não toque apenas porque o QR está impresso em uma placa ou documento. Abra você mesmo o aplicativo ou site oficial da empresa e procure a cobrança por dentro desse canal.
Checklist pré-pagamento: o que conferir em cada tela
| Etapa | O que conferir | Sinal de alerta | Ação mais segura |
|---|---|---|---|
| Origem | O QR veio de um app, site, boleto ou ponto físico que você esperava usar? | Cobrança inesperada por mensagem, e-mail ou contato que cria urgência. | Ignore o código recebido e entre no canal oficial por conta própria. |
| Leitura | O app bancário reconhece o código como Pix e abre a prévia do pagamento? | A leitura tenta levar diretamente a navegador, formulário, download ou página de login. | Não prossiga pelo link; procure a cobrança no app/site oficial. |
| Recebedor | Nome e CPF/CNPJ mostrados correspondem à pessoa ou empresa que deveria receber? | Nome desconhecido, pessoa física quando você esperava uma empresa ou CNPJ incompatível. | Cancele antes de confirmar e valide a cobrança com a empresa. |
| Valor | O total é o mesmo da compra, conta, tarifa ou serviço? | Valor maior, menor ou alterado sem explicação. | Não “corrija” por conta própria; gere uma nova cobrança no canal oficial. |
| Contexto | Descrição, identificador e situação da cobrança fazem sentido para aquela compra? | Referência genérica ou incompatível com o serviço, quando deveria haver identificação. | Confirme pedido, fatura ou contrato no canal original antes de pagar. |
| Confirmação | Tudo continua correto na última tela? | Pressa, pressão de terceiros ou mudança de dados na etapa final. | Use a opção de cancelar e recomece a partir de uma fonte confiável. |
Boleto com QR Code: trate a parte Pix como um Pix
Na orientação do Banco Central sobre boleto falso, o QR Code presente no documento bancário é usado para pagamento via Pix. Isso muda um ponto importante do risco: o pagamento feito por esse QR é instantâneo, sem a janela de compensação típica do boleto tradicional. Na prática, antes de confirmar, confira os dados do recebedor com o mesmo rigor de qualquer Pix.
Se você optar pelo código de barras do boleto, o BC orienta verificar se o beneficiário exibido é a pessoa ou empresa contratada e se o banco destinatário corresponde ao documento. Se houver divergência, não pague. Também é mais seguro obter uma segunda via pelo site ou aplicativo oficial do prestador do que confiar em um arquivo reenviado por mensagem.
Placa, cartaz ou adesivo: procure sinais de substituição física
Em QR Codes expostos em estacionamento, balcão, mesa, caixa, evento ou comércio de rua, existe um risco adicional: o código correto pode ter sido coberto por outro. O CERT.br alerta que fraudadores podem trocar QR Codes para desviar pagamentos a outra conta.
Antes de escanear, observe se há adesivo colado por cima de outro material, diferença de recorte ou impressão, bordas levantadas, sinais de rasura, QR desalinhado com o restante da placa ou uma etiqueta nova sobre uma comunicação antiga. Nenhum desses sinais, isoladamente, prova fraude; eles servem para aumentar a cautela.
Mesmo quando a placa parece intacta, a confirmação decisiva continua sendo digital: compare o nome e o CPF/CNPJ do recebedor com o estabelecimento real. Em caso de dúvida, pergunte ao responsável e, se possível, confirme o identificador do recebedor por outro canal do próprio estabelecimento.
QR Code recebido por WhatsApp, SMS ou e-mail exige cautela extra
Mensagens falsas podem copiar logotipos, nomes, dados pessoais e até informações verdadeiras de uma compra. Por isso, aparência convincente não basta. O CERT.br recomenda preferir QR Codes obtidos diretamente de sites e aplicativos oficiais e ter cautela com códigos recebidos por mensagens.
Se uma empresa diz que há uma cobrança pendente, não use o QR da mensagem como atalho. Abra o app que você já usa, digite o endereço oficial no navegador ou acesse a área autenticada da empresa por um favorito confiável. Depois, procure a mesma cobrança. Se ela não existir no canal oficial, não pague.
O que o app do banco deve ajudar você a conferir
Nos requisitos mínimos de experiência do Pix, o Banco Central prevê a apresentação de dados do destinatário para conferência antes da confirmação. Em jornadas com chave Pix, isso inclui nome completo, CPF mascarado ou CNPJ, a chave consultada, valor e uma forma de cancelar antes da conclusão. Nos pagamentos por QR Code, a tela de cobrança também deve fornecer informações suficientes para a conferência do pagador.
Isso não significa que um nome conhecido torne o pagamento automaticamente seguro. Golpistas podem usar contas de terceiros ou empresas com nomes parecidos. O dado precisa fazer sentido junto com o contexto: quem está cobrando, por quê, quanto, em qual canal e em qual etapa da compra.
Se os dados não baterem, não tente “ver se vai dar certo”
- Recebedor diferente: cancele imediatamente.
- Valor diferente: não edite a cobrança para “aproximar” do esperado; obtenha uma nova.
- QR abre site estranho: não faça login, não informe cartão, senha, token ou código de verificação.
- Placa parece adulterada: não use aquele QR; peça outra forma de pagamento ou confirme com o estabelecimento.
- Boleto veio por canal incomum: emita uma segunda via diretamente no serviço oficial.
Essa lógica reduz o risco porque desloca a confiança do papel, do adesivo ou da mensagem para os dados exibidos no sistema financeiro e para o canal que você escolheu abrir.
Já confirmou um Pix para o recebedor errado ou um QR adulterado?
Depois que um Pix é concluído, ele não funciona como uma compra que você simplesmente “cancela” na tela anterior. Se houver suspeita de golpe — por exemplo, um QR Code falso ou alterado — contate seu banco imediatamente pelos canais oficiais e conteste a transação para solicitar a análise pelo Mecanismo Especial de Devolução (MED).
O Banco Central informa que o MED pode ser solicitado em até 80 dias após a transação, mas agir rápido aumenta as chances de recuperação. A devolução não é garantida: depende da análise do caso e da existência de recursos na conta envolvida. O MED também não é destinado a um Pix feito para a pessoa errada apenas porque o pagador não conferiu o nome; ele é voltado a situações de fraude e hipóteses previstas nas regras do mecanismo.
Guarde o comprovante, fotos da placa ou do cartaz, o boleto recebido, mensagens, e-mails e qualquer evidência de substituição do QR Code. Esses registros ajudam na contestação e em eventual boletim de ocorrência.
Fluxo rápido antes de pagar
- Abra o app oficial do seu banco, não um link recebido.
- Entre em Pix e leia o QR Code por dentro do app.
- Confirme recebedor, CPF/CNPJ, valor e contexto.
- Se algo divergir, cancele antes de confirmar.
- Volte ao site, aplicativo ou atendimento oficial da empresa e gere a cobrança novamente.
- Se você já pagou e suspeita de fraude, conteste o Pix imediatamente no banco e peça análise via MED.
Para referência, consulte as orientações do Banco Central sobre segurança no Pix, a FAQ do BC sobre golpe com boleto, os requisitos de experiência do usuário do Pix e as dicas de segurança do CERT.br.
