Golpe do QR Code falso (quishing): como funciona e como se proteger
O QR Code virou a forma mais rápida de abrir um cardápio, pagar um Pix, entrar numa rede Wi-Fi ou baixar um aplicativo. Essa praticidade tem um efeito colateral: quem aponta a câmera para um código raramente sabe o que há dentro dele antes de agir. É exatamente essa brecha que o golpe do QR Code falso explora.
O nome técnico é quishing — junção de QR com phishing, a pescaria de dados por links falsos. Este texto explica como o golpe funciona, quais as variações mais comuns no Brasil, os sinais de alerta antes de pagar ou digitar qualquer coisa e o que fazer se você já caiu.
Por que o QR Code é um bom disfarce para golpistas
Um link escrito num e-mail pode ser lido antes do clique. Um QR Code, não. Ele é só um padrão de quadrados pretos e brancos, e qualquer código parece igual a qualquer outro aos olhos de uma pessoa. O conteúdo — um endereço de site, uma chave Pix, um texto — só aparece depois da leitura.
Três características tornam o símbolo especialmente útil para fraudes:
- É fácil de trocar. Um adesivo impresso em casa, colado por cima do código original, passa despercebido em placas, mesas, totens e parquímetros.
- Escapa de filtros. Sistemas de e-mail verificam links escritos no texto, mas têm mais dificuldade com links escondidos dentro de uma imagem.
- Leva para o celular. O golpe sai do computador do trabalho, que costuma ter proteção, e chega ao telefone pessoal, onde a tela pequena esconde detalhes do endereço.
Nada disso é uma falha do QR Code em si. O padrão, definido na norma ISO/IEC 18004, apenas codifica dados — não garante de onde eles vieram. A segurança depende do que você faz depois da leitura.
As variações mais comuns
1. O adesivo sobre o código verdadeiro
É a forma mais simples. O golpista imprime um QR Code que leva para uma página falsa — de pagamento de estacionamento, de cardápio, de aplicativo de patinete — e cola por cima do código original. A pessoa paga achando que está pagando o estabelecimento, e o dinheiro vai para outra conta.
Pistas: adesivo com bordas levantadas, código desalinhado em relação à placa, cor ou tamanho diferente do restante da comunicação visual, dois códigos sobrepostos.
2. O Pix trocado no balcão
Em lojas, feiras e food trucks que exibem um QR Code de Pix estático no balcão, a troca do código desvia todos os pagamentos do dia para outra pessoa — e o dono só percebe quando confere o extrato. Para o cliente, o pagamento parece normal: o aplicativo do banco lê o código, mostra um valor e pede confirmação.
A defesa é o detalhe que o aplicativo mostra antes de confirmar: o nome de quem vai receber. Se o nome não corresponde ao estabelecimento, não confirme. Esse cuidado vale para qualquer QR de Pix, inclusive os gerados em sites como este — o artigo sobre como criar um QR Code de Pix mostra quais dados vão dentro do código.
3. O e-mail que pede para escanear
Uma mensagem que parece vir do banco, da empresa de entregas, do setor de recursos humanos ou de um serviço de assinatura pede que você escaneie um QR Code para "atualizar o cadastro", "confirmar a entrega", "evitar o bloqueio da conta" ou "assinar um documento". O código leva a uma página que imita o login verdadeiro e captura usuário e senha.
O sinal de alerta é o próprio pedido: bancos e grandes empresas raramente pedem que você leia um QR Code para fazer login ou atualizar dados, e nenhum deles deveria criar urgência com ameaça de bloqueio.
4. O boleto ou cobrança falsa
Boletos adulterados — por e-mail, por aplicativo de mensagens ou até em papel — trazem um QR Code de Pix ou um código de barras que desvia o pagamento. O valor e a descrição parecem corretos, mas o recebedor é outro.
Antes de pagar qualquer cobrança recebida por mensagem, confira o nome do beneficiário no aplicativo do banco e, se tiver dúvida, emita a segunda via pelo site oficial do credor.
5. O código que instala um aplicativo
Cartazes, panfletos ou mensagens prometem desconto, brinde ou acesso a algum serviço mediante a instalação de um aplicativo pelo QR Code. O link leva a um arquivo instalável fora da loja oficial, que pode conter software malicioso capaz de ler mensagens e capturar senhas. A regra é simples: instale aplicativos apenas pelas lojas oficiais do seu celular.
6. O Wi-Fi gratuito
Um QR Code de Wi-Fi em local público pode conectar seu celular a uma rede controlada por terceiros, que observa o tráfego. Em redes desconhecidas, evite acessar banco e e-mail, e prefira os dados móveis para qualquer operação sensível. O formato desses códigos está explicado no artigo sobre QR Code de Wi-Fi.
Antes de abrir: confira o conteúdo
A maioria dos leitores de QR Code — inclusive a câmera dos celulares atuais — mostra o endereço antes de abri-lo. Esse instante é a principal linha de defesa. Antes de tocar no link:
- Leia o domínio inteiro. Golpistas usam endereços parecidos com os verdadeiros, com letras trocadas, hífens a mais ou extensões diferentes.
- Desconfie de encurtadores. Um link encurtado esconde o destino final; num contexto de pagamento ou login, é motivo para não prosseguir.
- Não confunda cadeado com confiança. O "https" indica que a conexão é cifrada, não que o site é legítimo — sites falsos também usam certificado.
- Nunca faça login a partir de um QR Code recebido. Se precisa entrar numa conta, digite o endereço ou abra o aplicativo oficial.
Se quiser ver o conteúdo de um código sem que o celular tente abri-lo, use o leitor de QR Code do site: ele mostra o texto exato que está dentro do símbolo — link, chave Pix, rede Wi-Fi — sem executar nada.
Na hora de pagar: o que conferir no Pix
Quando o QR Code é de Pix, o aplicativo do banco mostra uma tela de confirmação antes de concluir. Ali estão as informações que importam:
- Nome do recebedor — pessoa ou empresa. É o item mais importante.
- Instituição em que a conta do recebedor está.
- Valor, quando o código traz valor fixo.
- Descrição ou identificador, quando houver.
Se o nome não corresponde ao estabelecimento ou à pessoa a quem você quer pagar, cancele e pergunte. Um caixa honesto não se ofende com a pergunta; um golpista depende de você não fazê-la.
Para quem exibe QR Code: como proteger o seu negócio
Se você usa um QR Code no balcão, na mesa, na vitrine ou no material impresso, alguns cuidados reduzem muito o risco de troca:
- Inspecione os códigos todos os dias, principalmente os que ficam ao alcance do público.
- Proteja o impresso com acrílico, plastificação ou moldura, de forma que um adesivo por cima fique evidente.
- Escreva ao lado do código o nome que aparecerá no Pix: "o recebedor deve ser Padaria Exemplo Ltda." Isso ensina o cliente a conferir.
- Teste periodicamente lendo o código com o seu celular e conferindo o destino.
- Prefira o seu domínio nos links: um cardápio em suamarca.com.br/cardapio é mais fácil de reconhecer do que um endereço genérico.
Para o Pix, o QR Code estático com o nome correto e a cidade correta do recebedor é o que você precisa — e ele pode ser gerado gratuitamente no gerador de QR Code de Pix. As versões por segmento, como restaurante e padaria, trazem dicas de exibição para cada tipo de negócio.
Na empresa: o QR Code no e-mail corporativo
O quishing por e-mail mira principalmente funcionários de empresas. A mensagem imita um aviso de segurança do departamento de TI, uma assinatura eletrônica pendente, um comunicado de benefícios ou uma cobrança de fornecedor, e pede que o funcionário escaneie o código com o celular. O objetivo costuma ser a senha do e-mail corporativo ou do sistema de gestão.
Três medidas simples reduzem muito o risco:
- Regra clara: a TI nunca pede login por QR Code em e-mail. Se pedir, é golpe.
- Canal de verificação: um endereço ou ramal para onde o funcionário encaminha mensagens suspeitas antes de agir.
- Verificação em duas etapas em todas as contas, para que uma senha capturada não baste para entrar.
Como explicar para pais, avós e quem tem pouca familiaridade
Muitas vítimas de golpes com QR Code são pessoas que aprenderam a usar o recurso recentemente e confiam no código como confiariam numa placa oficial. Uma explicação curta e prática ajuda mais do que alertas genéricos:
- "O QR Code é como um endereço escrito em código. Ele pode levar para qualquer lugar."
- "Antes de pagar, olhe o nome que aparece no aplicativo do banco. Se não for o da loja, não pague."
- "Se uma mensagem pedir para escanear um código com urgência, ligue antes para quem supostamente mandou."
- "Nunca digite senha numa página que abriu por QR Code."
Vale também configurar no celular dessas pessoas um limite menor para transferências por Pix no período noturno e para destinatários novos — recurso disponível nos aplicativos dos bancos —, o que limita o prejuízo de um eventual golpe.
Lista rápida de conferência
- O código está colado por cima de outro? Tem bordas soltas?
- O endereço mostrado pela câmera é o do estabelecimento ou do serviço esperado?
- O link pede login, dados pessoais ou instalação de aplicativo?
- No Pix, o nome do recebedor é o de quem você quer pagar?
- A mensagem cria urgência ou ameaça bloquear algo?
Uma única resposta suspeita já é motivo para parar e confirmar por outro canal — um telefonema ao estabelecimento, o aplicativo oficial do serviço ou uma pergunta ao caixa. Esse minuto de conferência é o que separa um pagamento normal de um prejuízo difícil de recuperar.
Caí no golpe. E agora?
Se pagou por Pix
Entre em contato com o seu banco imediatamente, pelos canais oficiais, e peça a abertura do MED — Mecanismo Especial de Devolução, criado pelo Banco Central para casos de fraude e golpe no Pix. O banco registra a contestação e notifica a instituição do recebedor, que pode bloquear os valores que ainda estiverem na conta. O pedido pode ser feito em até 80 dias após a transação, mas quanto antes, maior a chance de recuperar o dinheiro.
Registre também um boletim de ocorrência — em muitos estados, pela internet — e guarde comprovantes, capturas de tela e o próprio código, se possível.
Se digitou senha ou dados pessoais
Troque a senha imediatamente, a partir do site ou aplicativo oficial, e ative a verificação em duas etapas. Se a senha é a mesma em outros serviços, troque em todos. Avise o banco se os dados digitados forem bancários, para que monitorem e bloqueiem o que for necessário.
Se o golpe foi no seu estabelecimento
Se descobriu que o QR Code do seu balcão foi trocado, retire o código falso, guarde-o como prova, registre boletim de ocorrência e avise os clientes que pagaram no período — eles podem acionar o MED junto aos próprios bancos. Reimprima o código verdadeiro, proteja-o fisicamente e passe a conferi-lo diariamente.
Se instalou um aplicativo
Desinstale, revise as permissões concedidas, troque as senhas a partir de outro aparelho e, se o celular passou a se comportar de forma estranha, considere restaurar as configurações de fábrica depois de salvar seus dados.
O QR Code continua seguro?
Sim — tanto quanto um link. O código em si não executa nada sozinho; ele só leva você a um conteúdo. O golpe acontece quando a pessoa age sem conferir para onde foi levada ou para quem está pagando. Com três hábitos — ler o endereço antes de abrir, conferir o nome do recebedor antes de pagar e nunca fazer login a partir de um código recebido —, o risco cai drasticamente.
Para quem quer entender melhor o que um QR Code pode e não pode conter, a especificação técnica e o artigo sobre QR Code estático e dinâmico explicam como os dados são gravados no símbolo e por que um código pode ser redirecionado sem que a imagem mude.