A Federação Brasileira de Bancos (Febraban) divulgou em 20 de outubro de 2026 um alerta sobre o quishing, golpe em que o criminoso troca ou falsifica o QR Code de um pagamento para que o Pix caia na conta dele. Segundo a entidade, a fraude já aparece em sites, páginas falsas, adesivos colados em bares, feiras e estacionamentos e até em boletos impressos.
O essencial: antes de confirmar qualquer Pix feito por QR Code, olhe na tela do aplicativo o nome de quem vai receber e o valor. Se algum dos dois não bater com o que você esperava, cancele. Um código colado por cima de outro é sinal de adulteração.
O golpe funciona porque o QR Code é ilegível para o olho humano. Ninguém consegue saber, só de olhar o quadrado preto e branco, para onde o dinheiro vai. A única checagem confiável acontece depois da leitura, na tela de confirmação do banco.
O que é quishing e de onde vem esse nome?
O termo junta QR com phishing, nome dado às fraudes que usam iscas (e-mails, mensagens, sites falsos) para enganar a vítima. No quishing, a isca é o próprio código. Em vez de clicar em um link suspeito, a pessoa aponta a câmera do celular e é levada a um pagamento ou a uma página que parece legítima.
Na prática, há duas variações. Na primeira, o QR Code gera um Pix com dados do golpista no lugar dos dados do lojista. Na segunda, o código abre uma página que imita banco, loja ou órgão público e pede login, senha ou dados do cartão.
Onde os QR Codes falsos estão aparecendo?
O alerta da Febraban lista quatro situações em que o golpe tem sido aplicado:
- Sites e lojas virtuais: uma falha na plataforma permite que o criminoso troque o QR Code ou os dados de pagamento exibidos no fechamento da compra.
- Páginas falsas: o endereço imita uma loja conhecida e o Pix gerado no fim vai para outra pessoa.
- Bares, feiras e estacionamentos: um adesivo com outro código é colado sobre a plaquinha original do caixa ou da mesa.
- Boletos impressos: o papel é adulterado e o QR Code de pagamento instantâneo passa a apontar para a conta do golpista.
O ponto comum entre os quatro casos é a pressa. Fila no caixa, conta de bar dividida, carro saindo do estacionamento: são momentos em que pouca gente para e lê a tela antes de digitar a senha.
Como saber se o QR Code do Pix é falso antes de pagar?
Raphael Mielle, diretor de Serviços e Segurança da Febraban, orienta a observar o código antes da leitura e conferir os dados no aplicativo antes de confirmar. Em ordem, a checagem fica assim:
- Olhe a placa ou a tela antes de escanear. Bordas descoladas, um quadrado com brilho diferente do resto ou um código impresso em papel comum colado sobre acrílico indicam sobreposição.
- Leia o nome do recebedor na tela de confirmação. No bar, ele deve corresponder ao estabelecimento (ou à razão social que o atendente informar). Nome de pessoa física desconhecida é motivo para parar.
- Verifique o valor. QR Code com valor diferente do combinado, ou sem valor quando deveria ter, merece pergunta ao caixa.
- Na dúvida, peça a chave Pix. Digitar a chave informada pelo atendente tira o código da equação.
- Em compra on-line, desconfie de mudança de última hora. Se a loja pedir para pagar em outra conta, ou o recebedor do Pix não tiver relação com a marca, abandone o pagamento e fale com a empresa por um canal oficial.
O banco avisa quando o QR Code é suspeito?
Alguns aplicativos exibem alertas para contas com histórico de denúncia, mas isso não cobre todos os casos. Uma conta recém-aberta pelo golpista pode não ter nenhum registro. Por isso a leitura do nome continua sendo a proteção principal.
O QR Code falso pode roubar dados além do dinheiro?
Pode. Quando o código leva a uma página, e não a um Pix, o objetivo costuma ser capturar credenciais. A página copia o visual do banco ou da loja e pede CPF, senha, código recebido por SMS ou número do cartão. Com isso, o criminoso tenta entrar na conta da vítima ou fazer compras.
A regra prática: QR Code de pagamento deve abrir o aplicativo do banco ou a tela de Pix, não um formulário. Se a câmera do celular mostrar um endereço de site, leia o domínio inteiro antes de tocar. Páginas que pedem senha do banco depois de um QR Code impresso em plaquinha são sinal claro de fraude.
Em outra frente de golpe que circula em canais digitais, o tecnohub mostrou como criminosos já usam inteligência artificial para se passar por profissionais de confiança, no texto sobre o golpe do falso advogado que imita voz e vídeo.
Caí no golpe do QR Code: o que fazer nas primeiras horas?
A velocidade importa, porque o golpista costuma transferir o dinheiro para outras contas logo depois de receber. Os passos são estes:
- Ligue para o seu banco ou use o canal de contestação do app e informe que foi vítima de fraude no Pix. Peça a abertura do Mecanismo Especial de Devolução (MED).
- Registre boletim de ocorrência, que pode ser feito pela delegacia eletrônica do seu estado.
- Guarde provas: comprovante do Pix, foto da placa ou do boleto adulterado, endereço da página e horário.
- Avise o estabelecimento quando o adesivo falso estiver em um bar ou estacionamento, para que outras pessoas não caiam no mesmo código.
Segundo as regras do Banco Central sobre o Pix, o MED permite que o banco da vítima peça o bloqueio e a devolução dos valores ao banco que recebeu o dinheiro. O prazo para pedir é de até 80 dias após a transferência. O mecanismo, porém, não garante o ressarcimento: se a conta de destino já estiver vazia, a devolução pode ser parcial ou não acontecer.
Lojistas também precisam se proteger?
Sim, porque quem perde a venda é o comerciante. Donos de bares e barracas de feira podem conferir as plaquinhas no início de cada turno, usar suportes que dificultem colagem de adesivos e preferir maquininhas que geram o QR Code na hora, com valor exato. No comércio eletrônico, a Febraban cita falhas de plataforma, o que torna a atualização do sistema da loja parte da defesa.
A Febraban manda mensagem pedindo dados?
Não. Em 9 de outubro de 2026, a federação já havia alertado para um perfil falso no WhatsApp que usava o logotipo da entidade para abordar clientes. Bancos e a Febraban não pedem senha, código de verificação nem transferência para “conta de segurança”. Os canais oficiais de orientação estão na página Febraban Antifraude. Qualquer contato que misture urgência, QR Code e pedido de dados deve ser tratado como golpe até prova em contrário.
