A Febraban alerta para o quishing, golpe em que criminosos adulteram ou criam QR Codes falsos para mandar o pagamento a contas de quadrilhas. A fraude pode aparecer em sites, em páginas falsas que imitam sites conhecidos, em bares, feiras e estacionamentos e até em boletos impressos. A orientação da federação é conferir no aplicativo do banco o nome do recebedor e o valor antes de concluir a transação.
O quishing é uma modalidade de phishing (pescaria digital) que se aproveita da popularização dos QR Codes como forma rápida e prática de iniciar pagamentos. Em março de 2026, o Let’s Money mostrou que o golpe do QR Code colado no Pix cresce no Brasil.
No site, a compra parece normal
No ambiente digital, criminosos podem explorar vulnerabilidades em plataformas de comércio eletrônico para trocar o QR Code ou os dados de pagamento exibidos ao consumidor. A página e as informações da compra podem aparentar normalidade, mas a leitura do código direciona o dinheiro para outro recebedor.
Outra porta são as páginas falsas que imitam sites conhecidos. A Febraban recomenda comprar nos sites oficiais das lojas, conferir se o endereço acessado é o verdadeiro e evitar começar uma compra a partir de links publicados em redes sociais ou recebidos por mensagem.
Publicidade
Adesivo por cima do código e boleto adulterado
Nos estabelecimentos físicos, os fraudadores podem colar adesivos com QR Codes falsos sobre os códigos legítimos de bares, restaurantes, feiras, estacionamentos e outros pontos comerciais. O consumidor acredita estar pagando ao estabelecimento, e os recursos vão para uma conta controlada pelos criminosos.
A troca física também pode acontecer em boletos impressos que tragam QR Code: o documento é adulterado e o código legítimo dá lugar a um falso. Mesmo quando o boleto aparenta ser legítimo, a Febraban considera fundamental conferir no aplicativo da instituição financeira os dados do recebedor e o valor antes de pagar.
Febraban · golpe do QR Code falso
O mesmo golpe, quatro portas de entrada
Onde
Como o criminoso age
O que observar
Site de loja
Explora falha da plataforma e troca o QR Code ou os dados de pagamento
Antes de pagar, confira no aplicativo da instituição financeira o nome do recebedor e o valor da transação.
Em sites, prefira as páginas oficiais e confira com atenção o endereço eletrônico antes de iniciar o pagamento.
Evite comprar a partir de links recebidos por mensagens e e-mails ou divulgados em redes sociais.
Em estabelecimentos físicos, veja se o QR Code tem sinais de adulteração, como adesivos sobrepostos.
Em boletos impressos com QR Code, confira sempre no aplicativo os dados do recebedor antes de confirmar, porque o código pode ter sido substituído.
Se os dados do aplicativo não corresponderem ao estabelecimento ou à compra, não conclua a transação.
Desconfie de ofertas vantajosas demais e de abordagens que criem urgência para pagar na hora.
“Antes de concluir qualquer pagamento por QR Code, é fundamental conferir os dados exibidos pelo aplicativo da instituição financeira, principalmente o nome do recebedor e o valor da transação. Essa simples verificação pode revelar uma adulteração antes que o dinheiro seja transferido”, afirma Raphael Mielle, diretor de Serviços e Segurança da Febraban.
“Em ambientes físicos, o consumidor também deve observar o próprio código antes da leitura e desconfiar de adesivos sobrepostos ou sinais de alteração. A conferência dos dados do recebedor representa uma importante camada adicional de proteção e pode ajudar a identificar tentativas de fraude antes que o pagamento seja efetivado”, complementa Mielle.
O alerta interessa a quem paga com QR Code no dia a dia, em compras online, no balcão de bares e restaurantes, em feiras e estacionamentos ou na quitação de boletos impressos. Também interessa a donos de estabelecimentos que deixam o código exposto ao público. Vale acompanhar se novos formatos de adulteração aparecem e como os aplicativos dos bancos exibem os dados do recebedor antes da confirmação.
