QR Code e Pix: cuidados que empresas devem adotar para evitar fraudes

O Procon-SP emitiu, em setembro de 2026, um alerta de consumo sobre o golpe do QR Code no Pix em compras online, depois de identificar relatos de lojas virtuais em que o código apresentado na hora do pagamento aparecia alterado, direcionando o valor pago para uma conta diferente da loja. A orientação oficial do Procon-SP foi amplamente repercutida pela imprensa nas semanas seguintes — este texto usa a orientação do órgão como referência, sem tratar como confirmado nenhum detalhe técnico específico sobre como cada caso individual de fraude foi executado, já que isso varia loja a loja e não foi detalhado publicamente por uma autoridade técnica única.

Como o risco funciona, em linhas gerais

Sem entrar em detalhes técnicos não confirmados publicamente por uma autoridade única, o padrão geral do golpe do QR Code no Pix descrito pelo Procon-SP e replicado pela imprensa é o seguinte: o código Pix mostrado ao consumidor no momento do pagamento — seja o QR Code visual, seja a opção "copia e cola" — aparece diferente do que a loja realmente configurou, direcionando o dinheiro para uma conta que não pertence ao vendedor. O consumidor só percebe o problema depois, ao notar que o pagamento não foi reconhecido pela loja.

Quem pode ser afetado

• E-commerce — página de checkout é o ponto mais citado nos relatos reunidos pelo Procon-SP
• Lojas físicas com QR Code impresso no caixa — um adesivo trocado sobre o código original é um risco simples e conhecido, independente de qualquer sistema
• Empresas que usam computador compartilhado ou desatualizado para gerar ou exibir cobranças Pix
• Consumidores que pagam por link enviado em mensagem, sem conferir se veio realmente da loja

Conferência do beneficiário: o cuidado mais importante

A orientação central do Procon-SP para quem paga é sempre conferir, no aplicativo do banco, o nome e o CNPJ de quem vai receber o Pix antes de confirmar — e não só o valor da cobrança. Se o nome ou o CNPJ mostrado na tela de confirmação não bater com o nome da loja onde a compra está sendo feita, o pagamento não deve ser confirmado. Esse é o único passo, de acordo com a orientação oficial, que o próprio consumidor consegue verificar em qualquer situação, mesmo sem saber como o QR Code foi gerado por trás.

Segurança de dispositivos

Para quem vende, manter o computador ou totem que gera a cobrança Pix atualizado, com antivírus ativo e sem extensões de navegador não reconhecidas, reduz a superfície de ataque — prática básica de segurança que vale para qualquer sistema de pagamento, não só para o golpe do QR Code no Pix especificamente. Para quem compra, evitar finalizar pagamentos em redes Wi-Fi públicas desconhecidas e manter o aplicativo do banco atualizado segue a mesma lógica.

QR Codes impressos também são um risco

Um risco mais simples do que qualquer invasão digital é o QR Code impresso e colado em balcão, cardápio ou totem: um adesivo com um código diferente colado por cima do original desvia o pagamento sem precisar de nenhuma falha de sistema. Lojas físicas que usam QR Code fixo, sem gerar um novo código a cada venda, devem conferir periodicamente se o código exibido é mesmo o original da empresa.

Boas práticas para empresas

• Gerar um novo QR Code por venda sempre que o sistema de cobrança permitir, em vez de usar um código fixo impresso
• Conferir periodicamente se o código exibido no caixa ou no site é mesmo o cadastrado pela empresa
• Orientar a equipe de vendas a desconfiar de reclamação de cliente sobre "pagamento não recebido" logo após a compra
• Manter sistemas de checkout e computadores de caixa atualizados
• Nunca enviar link de pagamento por canal não oficial da empresa sem aviso prévio ao cliente

O que fazer depois de uma fraude

Quem identificar um pagamento desviado deve contatar o banco ou a instituição de pagamento imediatamente e solicitar a contestação da transação pelo Mecanismo Especial de Devolução (MED). Desde 1º de setembro de 2026, o prazo para contestar uma transação suspeita pelo MED passou de 30 para 80 dias, o que dá mais tempo para reconhecer e reportar o problema. Também vale registrar boletim de ocorrência e, no caso de compra online, comunicar a plataforma ou marketplace onde a compra foi feita.

Perguntas frequentes

O golpe do QR Code no Pix já foi confirmado oficialmente pelo Banco Central?

O alerta público mais direto disponível até a publicação deste texto veio do Procon-SP, órgão de defesa do consumidor do estado de São Paulo. Recomendamos seguir também os canais oficiais do Banco Central para orientações atualizadas sobre segurança no Pix.

Tenho quantos dias para contestar um pagamento Pix suspeito?

Desde 1º de setembro de 2026, o prazo do Mecanismo Especial de Devolução (MED) passou de 30 para 80 dias.