Fraude conhecida como quishing utiliza códigos adulterados para transferir dinheiro a criminosos; Febraban orienta consumidores a verificar os dados antes de pagar
Uma modalidade de fraude digital que utiliza QR Codes falsificados para desviar pagamentos tem colocado consumidores em alerta. Conhecido como quishing, o golpe permite que criminosos substituam códigos legítimos por versões adulteradas, fazendo com que transferências realizadas por Pix ou boletos com QR Code sejam direcionadas para contas controladas por golpistas.
A fraude pode acontecer tanto em estabelecimentos comerciais quanto em compras pela internet e documentos impressos. Em muitos casos, a vítima realiza o pagamento normalmente, sem perceber qualquer irregularidade, e descobre posteriormente que o dinheiro foi enviado a um destinatário desconhecido.
A Federação Brasileira de Bancos (Febraban) alerta que os criminosos conseguem modificar apenas o código utilizado para a transação, preservando a aparência original da página, cobrança ou documento. Essa característica dificulta a identificação da fraude e aumenta a possibilidade de o consumidor concluir uma operação indevida.
Como funciona o golpe do QR Code falso
O golpe do QR Code pode ser aplicado de diferentes maneiras, dependendo do ambiente em que o pagamento é realizado.
Em estabelecimentos físicos, como restaurantes, estacionamentos e feiras, os criminosos podem colocar adesivos contendo códigos fraudulentos sobre os QR Codes verdadeiros utilizados pelos comerciantes.
Ao escanear a imagem com o celular, o consumidor acredita estar pagando pelo produto ou serviço adquirido. Entretanto, o código adulterado apresenta dados bancários diferentes, direcionando a transferência para a conta dos responsáveis pelo golpe.
No comércio eletrônico, a estratégia pode envolver a criação de páginas falsas que reproduzem a identidade visual de lojas conhecidas. Também há situações em que os dados de pagamento são modificados em páginas utilizadas para finalizar compras.
Dessa forma, o cliente percorre as etapas habituais da transação, mas acaba transferindo os recursos para uma conta que não pertence à empresa responsável pela venda.
A adulteração também pode atingir boletos impressos com QR Code, nos quais o código original é substituído por outro destinado a receber valores indevidamente.
Febraban orienta consumidores a conferir destinatário
Para reduzir os riscos, a Febraban recomenda que os usuários de serviços bancários verifiquem cuidadosamente as informações apresentadas pelo aplicativo financeiro antes de autorizar qualquer pagamento.
O principal cuidado envolve a identificação do beneficiário da transferência. Mesmo quando o código parece legítimo, é necessário confirmar se o nome exibido corresponde ao estabelecimento comercial, à empresa ou à pessoa que deveria receber o dinheiro.
O valor da operação também precisa ser conferido, já que inconsistências podem indicar adulteração dos dados.
“Antes de concluir qualquer pagamento por QR Code, é fundamental conferir os dados exibidos pelo aplicativo da instituição financeira, principalmente o nome do recebedor e o valor da transação. Essa simples verificação pode revelar uma adulteração antes que o dinheiro seja transferido”, afirma Raphael Mielle, diretor de serviços e segurança da Febraban.
A orientação é especialmente importante porque a simples leitura de um código não garante que ele tenha sido disponibilizado pelo verdadeiro responsável pela cobrança.
O que fazer após cair no golpe do QR Code
Quem identificar um pagamento realizado por meio de um QR Code fraudulento deve procurar imediatamente a instituição financeira responsável pela transferência e comunicar a suspeita de golpe.
A rapidez é fundamental, principalmente quando a operação ocorre por Pix, sistema que permite a movimentação praticamente instantânea dos valores.
Essa característica também se aplica aos QR Codes disponibilizados em boletos. Embora estejam presentes em documentos de cobrança, quando utilizados para iniciar uma transação Pix, o dinheiro é enviado imediatamente, sem seguir o prazo tradicional de compensação bancária dos boletos.
Além de solicitar a contestação, a vítima deve registrar um boletim de ocorrência e preservar todos os elementos que possam ajudar a comprovar a fraude.
Entre os documentos importantes estão o comprovante da transferência, o boleto utilizado, os registros da página de pagamento e eventuais mensagens trocadas com os responsáveis pela cobrança.
Essas informações poderão auxiliar tanto a análise realizada pelo banco quanto uma eventual investigação policial ou medida judicial.
Pix permite solicitar devolução por meio do MED
Nos casos em que o pagamento fraudulento foi realizado por Pix, o consumidor pode recorrer ao Mecanismo Especial de Devolução (MED), procedimento instituído pelo Banco Central para facilitar a recuperação de recursos transferidos em situações de fraude.
A solicitação deve ser apresentada ao banco em até 80 dias após a realização da transação.
Depois que a contestação é registrada, as instituições financeiras envolvidas avaliam as informações disponíveis e podem adotar medidas para bloquear valores existentes nas contas relacionadas ao golpe.
Se a fraude for confirmada, os recursos poderão ser restituídos integral ou parcialmente, conforme a disponibilidade financeira e o resultado da análise.
Entretanto, a devolução não é garantida. Caso os criminosos tenham movimentado ou retirado o dinheiro antes da adoção das medidas de bloqueio, a recuperação poderá ser limitada ou até mesmo inviável.
Por isso, comunicar a ocorrência ao banco assim que o problema for identificado aumenta as possibilidades de impedir novas movimentações dos valores.
Bancos podem ser responsabilizados por falhas de segurança
A ocorrência de um golpe financeiro não significa, necessariamente, que a instituição bancária será obrigada a ressarcir todo o prejuízo.
A responsabilidade depende das particularidades de cada situação, especialmente da existência de possíveis falhas nos mecanismos de segurança ou na prestação dos serviços financeiros.
Um levantamento realizado pelo Observatório Rosenbaum de Golpes e Fraudes Bancárias, mantido pelo escritório Rosenbaum Advogados, analisou decisões judiciais relacionadas ao golpe do falso boleto.
A pesquisa identificou 1.041 decisões do Tribunal de Justiça de São Paulo (TJSP), proferidas entre junho de 2025 e agosto de 2026.
Em aproximadamente metade dos processos examinados, os consumidores conseguiram recuperar os valores perdidos, de maneira integral ou parcial.
O estudo também avaliou decisões de outros cinco tribunais estaduais, nos quais o percentual de ressarcimento foi de 36,9%.
Os resultados demonstram que a possibilidade de indenização varia conforme as provas apresentadas, as circunstâncias da fraude e a avaliação judicial sobre a responsabilidade das instituições envolvidas.
Como identificar um QR Code adulterado
A prevenção continua sendo uma das principais medidas para evitar prejuízos decorrentes do quishing.
Em ambientes físicos, os consumidores devem observar atentamente a superfície em que o código está disponível. Adesivos sobrepostos, sinais de substituição e QR Codes instalados em locais incomuns podem indicar tentativa de adulteração.
Nas compras pela internet, a atenção deve se concentrar na autenticidade do endereço eletrônico. Sites fraudulentos podem reproduzir logotipos, cores e outros elementos visuais de empresas conhecidas para transmitir uma falsa sensação de segurança.
Por esse motivo, é recomendável acessar diretamente os canais oficiais dos estabelecimentos e evitar links de pagamento recebidos de fontes desconhecidas.
No caso dos boletos, a aparência do documento não é suficiente para garantir sua autenticidade. O consumidor deve conferir as informações do recebedor apresentadas pelo aplicativo bancário antes de concluir a operação.
Sete cuidados para evitar o golpe do QR Code
A adoção de medidas simples pode ajudar a identificar tentativas de fraude antes que o dinheiro seja transferido.
-
Confirme o destinatário: verifique no aplicativo do banco o nome da pessoa ou empresa que receberá o pagamento e confira se corresponde ao beneficiário esperado.
-
Verifique o valor: compare a quantia apresentada na tela de confirmação com o preço da compra, serviço ou cobrança.
-
Examine os códigos físicos: desconfie de adesivos sobrepostos, alterações aparentes ou QR Codes posicionados de maneira suspeita em estabelecimentos comerciais.
-
Confira o endereço do site: em compras virtuais, utilize preferencialmente as páginas oficiais das lojas e evite acessar links enviados por mensagens ou redes sociais sem verificar sua procedência.
-
Tenha atenção aos boletos: mesmo quando o documento apresentar aparência legítima, confirme os dados do beneficiário antes de pagar por QR Code.
-
Interrompa operações suspeitas: caso o nome do destinatário ou o valor não corresponda à cobrança, não autorize a transferência e procure o estabelecimento por um canal oficial.
-
Comunique imediatamente qualquer fraude: se o pagamento já tiver sido realizado, entre em contato com o banco, solicite a contestação e, nas operações Pix, peça a abertura do MED.
Conferência dos dados pode impedir prejuízos
A expansão dos pagamentos digitais tornou o QR Code uma ferramenta frequente nas transações comerciais, oferecendo rapidez e praticidade para consumidores e empresas.
Entretanto, a utilização dessa tecnologia também exige cuidados para evitar que códigos falsificados sejam empregados no desvio de recursos.
A principal recomendação das instituições financeiras é não considerar a aparência do QR Code como garantia de segurança. Antes de finalizar qualquer pagamento, é indispensável verificar as informações apresentadas pelo banco.
A conferência do destinatário e do valor da transferência pode ser decisiva para identificar uma tentativa de golpe e impedir que o dinheiro seja encaminhado aos criminosos.
