Você escaneia o código, confere o valor, autoriza o pagamento e, minutos depois, descobre que o dinheiro foi para um desconhecido. Batizado de “quishing”, o golpe do QR Code adulterado não escolhe vítimas: atinge o almoço no restaurante, a compra no e-commerce e até o boleto impresso que chegou pelo correio.
A fraude expliona a confiança cega na tecnologia. Criminosos colam adesivos sobre códigos legítimos em estabelecimentos físicos ou injetam códigos falsos em páginas de checkout e boletos. O documento ou a tela parecem intactos; só o destino do dinheiro muda.
Onde o perigo se esconde: do restaurante ao boleto impresso
Em ambientes físicos — feiras, estacionamentos, bares —, a troca é quase imperceptível. Um adesivo bem impresso sobre o código original redireciona o pagamento para a conta do fraudador, mantendo a identidade visual do estabelecimento.
No ambiente digital, a estratégia muda: clonam páginas de lojas conhecidas ou interceptam o fluxo de checkout. O consumidor finaliza a compra convencido de que pagou ao vendedor correto.
O risco mais subestimado, porém, vive no papel. Boletos impressos com opção de pagamento via QR Code funcionam, na prática, como um Pix. Não há compensação de dias úteis; a liquidação é instantânea. Se o código foi adulterado na gráfica ou no envio, o prejuíço é imediato.
A verificação que 90% das pessoas pulam no app do banco
Segundo Raphael Mielle, diretor de serviços e segurança da Febraban, a defesa única e eficaz acontece antes de tocar em “confirmar”. O aplicativo da sua instituição financeira exibe o nome do recebedor e o valor final. Se o nome não bate com quem você está pagando, não avance.
Essa checagem de dois segundos — nome do favorecido versus valor — neutraliza a esmagadora maioria das tentativas. O problema é que a pressa faz o usuário olhar apenas para o valor.
Por que o boleto com QR Code virou armadilha instantânea
Muitos consumidores tratam o boleto com QR Code como o boleto tradicional: acham que há prazo para estorno ou bloqueio. Não há. Ao pagar o QR Code de um boleto, você executa uma transferência Pix comum.
- Liquidação: Imediata (segundos).
- Estorno automático: Não existe.
- Recuperação: Depende do Mecanismo Especial de Devolução (MED).
Essa característica torna a conferência do recebedor no app do banco um passo obrigatório, e não opcional, para qualquer documento impresso.
Caiu no golpe? O relógio começa a contar agora
Se o pagamento já foi autorizado, a velocidade da reação define a chance de recuperação. O roteiro de emergência é rígido:
- Contate o banco imediatamente e conteste a transação.
- Registre boletim de ocorrência (pode ser online na maioria dos estados).
- Guarde tudo: comprovante, print da tela, boleto, mensagens trocadas.
- Se foi Pix, solicite a abertura do MED (Mecanismo Especial de Devolução) em até 80 dias.
O MED permite que as instituições bloqueiem valores ainda disponíveis nas contas dos fraudadores. Mas há um detalhe crucial: se os criminosos já sacaram ou transferiram o dinheiro para fora do alcance do sistema, o ressarcimento pode ser parcial ou nulo. O banco não é segurador automático de golpes; a responsabilidade depende de falha comprovada na prestação do serviço.
A justiça tem devolvido o dinheiro? Os números reais
Um levantamento do Observatório Rosenbaum de Golpes e Fraudes Bancárias analisou 1.041 decisões do Tribunal de Justiça de São Paulo (junho/2025 a agosto/2026) sobre falsos boletos. O resultado: 50% das vítimas obtiveram ressarcimento total ou parcial.
Em outros cinco tribunais estaduais, o índice de sucesso caiu para 36,9%. A diferença reforça que a prova técnica (prints, logs, BO rápido) e a jurisdição pesam mais do que a simples narrativa do consumidor.
Checklist rápido: o que conferir antes de cada “confirmar”
- Destinatário: O nome no app do banco é exatamente o da empresa/estabelecimento?
- Valor: Corresponde ao combinado, sem centavos a mais ou a menos?
- Código físico: Há adesivo sobreposto, rasura ou posição estranha no display?
- Site/Link: A URL é a oficial? Acesse digitando o endereço, não clicando em links de WhatsApp ou e-mail.
- Boleto com QR Code: Mesmo com layout perfeito, valide o recebedor no app.
O que observar daqui para frente
A tendência é a migração em massa de boletos tradicionais para o modelo híbrido (boleto + QR Code Pix), o que expande a superfície de ataque. Bancos e varejistas começam a adotar QR Codes dinâmicos (que expiram em minutos) e assinaturas visuais de autenticidade nos apps, mas a adoção ainda é desigual.
Enquanto a infraestrutura não padroniza a segurança visual, o hábito de ler o nome do recebedor na tela do banco permanece a única barreira 100% sob controle do pagador. Trate-o como o cinto de segurança: chato de conferir toda vez, mas o único que salva quando o acidente acontece.
