QR Code não transfere sozinho, mas depende de conferência manual
De acordo com o Banco Central, o Pix funciona em duas camadas. O QR Code contém apenas instruções para iniciar a transação. A liquidação ocorre no Sistema de Pagamentos Instantâneos, com criptografia e sigilo bancário. O aplicativo do banco do pagador exibe, antes da senha, o nome do recebedor, CPF ou CNPJ, instituição e valor. Essa tela é a checagem obrigatória.
O problema, segundo especialistas em segurança digital ouvidos em relatórios técnicos, é comportamental. Em ambiente de praia, bar ou festa, a vítima costuma entregar o aparelho desbloqueado, não confere o nome que aparece ou autoriza sob pressão de fila, oferta ou urgência. O QR Code, que deveria ser apenas um atalho, passa a ser o vetor do desvio.
Conforme o Banco Central informou em nota ao portal TechTudo em março de 2026, a plataforma do Pix nunca foi suspensa desde o lançamento em fevereiro de 2020. A instituição classifica o sistema como robusto, seguro e confiável e atribui percepções de falha a instabilidades pontuais de aplicativos, queda de conexão, limites noturnos de segurança ou manutenções programadas dos bancos. Em janeiro de 2026, o Pix registrou 7 bilhões de transações. Em dezembro de 2025, bateu recorde de 313 milhões de operações em um único dia. Mais de 170 milhões de brasileiros, cerca de 80% da população, utilizam o meio de pagamento.
Caso do Arpoador mostra tática de digitar R$ 7 mil e fechar em R$ 700
A dinâmica do golpe na praia combina dois elementos. Primeiro, a abordagem rápida e informal. Segundo, o controle do aparelho. Segundo a Guarda Municipal, as turistas argentinas acionaram os agentes logo após a cobrança. O vendedor tentou fugir e foi contido. O registro aponta que a primeira tentativa de digitação foi de R$ 7.000, barrada pelas vítimas, seguida de inserção de R$ 700, concluída porque o celular já estava em mãos do ambulante.
A mesma lógica aparece em denúncias de festas e restaurantes. O cliente escaneia, mas o criminoso está ao lado e orienta a digitação. Ou o cliente entrega o aparelho para o vendedor finalizar. Em ambos os cenários, a conferência do destinatário deixa de ser feita por quem paga.
Estático e dinâmico têm riscos diferentes, segundo manual do BC
O Manual de Padrões para Iniciação do Pix, publicado pelo Banco Central, define três tipos de QR Code. O estático contém todos os dados dentro do próprio código. São cinco campos possíveis: chave Pix válida no Diretório de Identificadores de Contas Transacionais, identificador da transação, campo de texto livre, valor e identificação de facilitador de saque. Apenas a chave é obrigatória. Ele pode ser usado várias vezes, impresso e fixado no balcão. É recomendado para pessoas físicas, pequenos varejistas e prestadores de serviços.
O dinâmico funciona de forma distinta. Ele traz uma URL que é acessada no momento da leitura. O restante das informações é obtido no endpoint do banco do recebedor. Por isso permite conciliação, valor fechado, campos estruturados e expiração. É único por transação e mais usado por empresas que geram cobrança por venda.
O risco muda conforme o tipo. No estático, a vulnerabilidade está na clonagem física. Um adesivo com a chave de um golpista pode ser colado sobre o código original na mesa, no cardápio ou na placa do ambulante. No dinâmico, o risco está no link. Se a URL for adulterada ou o domínio imitar o do banco ou da loja, o pagamento pode ser direcionado para conta laranja. Nos dois casos, o aplicativo do banco mostrará um nome diferente do estabelecimento, sinal que deve interromper a operação.
Adesivo sobre QR original vira desvio invisível em bares e praias
Segundo levantamento da empresa de segurança ESET publicado pelo portal WeLiveSecurity, o QR Code é versátil e pode conter logotipo, mas justamente por isso permite alteração invisível. A companhia lista cinco formas de exploração: redirecionamento para site malicioso, download de arquivo malicioso disfarçado de cardápio em PDF, execução de ação no dispositivo, desvio de pagamento e roubo de sessão de aplicativos por meio de QRLjacking.
Em bares e restaurantes, a prática mais comum é a sobreposição. O comerciante deixa um QR Code impresso fixo para Pix. O golpista circula como cliente, cola um adesivo menor por cima e passa a receber. Como o valor do estático pode ser inserido pelo pagador, a vítima digita o valor da conta e envia para o criminoso sem perceber. Em outro vetor, o código vem por WhatsApp ou e-mail, com urgência, desconto relâmpago ou ameaça de cancelamento. O link encurtado leva a checkout falso.
O Banco do Brasil orienta que, antes de escanear, o usuário confira a origem do código, use apenas o aplicativo oficial do banco e desconfie de presentes não solicitados. A instituição alerta para riscos de efeito dominó: dados capturados em um golpe de QR Code podem ser usados para golpe da falsa central, com ligação posterior se passando por banco.
Fraudes disparam 29,5% e bancos concentram mais da metade das tentativas
O crescimento do Pix ampliou a superfície de ataque. Segundo o Banco Central, o sistema movimentou R$ 35,36 trilhões em 2025, equivalente a três vezes o PIB brasileiro de 2024, estimado em R$ 11,8 trilhões, com 79,8 bilhões de transações, alta de 33,64% em valor e 25,67% em quantidade sobre 2024. No segundo semestre de 2025, foram 78,4 bilhões de transações no varejo, com R$ 68,2 trilhões movimentados, avanço de 12,9% em quantidade. O Pix respondeu por 54,7% das operações, com 42,9 bilhões de transações.
De acordo com o Indicador de Tentativas de Fraude da Serasa Experian, o Brasil registrou 6.937.832 tentativas de fraude no primeiro semestre de 2025, aumento de 29,5% em relação ao mesmo período de 2024, média de uma tentativa a cada 2,3 segundos. O setor de bancos e cartões concentrou 53,7% das ocorrências, com uma tentativa a cada 4,2 segundos. Telefonia teve o maior avanço percentual, acima de 50%, seguida por serviços com 30,2%, bancos e cartões com 28,4% e financeiras com 25,5%. Varejo cresceu 11,7%.
Segundo a Serasa Experian, o prejuízo potencial caso as fraudes não fossem barradas chegou a R$ 39,8 bilhões no semestre, contra R$ 29,9 bilhões no mesmo intervalo de 2024. O Sudeste concentrou 3.295.292 tentativas, 47,5% do total. São Paulo respondeu sozinho por 1.905.851 casos, quase 30%. No recorte por habitante, o Distrito Federal liderou com 8.119 ocorrências por milhão.
MED 2.0 passa a rastrear contas laranjas até 11 dias após contestação
Para casos em que o golpe se concretiza, o Banco Central mantém o Mecanismo Especial de Devolução, criado em 2021. Até 2024, o MED bloqueava valores apenas na primeira conta recebedora. Como fraudadores esvaziam a conta rapidamente e pulverizam o dinheiro em contas intermediárias, a recuperação era baixa.
Conforme resolução publicada pelo Banco Central em 28 de agosto de 2025, de número 493, o MED foi aprimorado. A partir de 1º de outubro de 2025, todas as instituições participantes do Pix devem oferecer canal digital de autoatendimento para contestação diretamente no aplicativo, sem necessidade de central telefônica. A partir de 23 de novembro de 2025, inicia-se a adesão facultativa ao rastreamento em camadas, que permite bloquear e devolver valores a partir de contas para onde o dinheiro foi transferido após a fraude, não apenas da conta inicial. A obrigatoriedade para todo o sistema entra em vigor em 2 de fevereiro de 2026. O prazo para devolução passa a ser de até 11 dias após a contestação. O pedido de análise deve ser feito em até 80 dias da transação.
Segundo o Banco Central, o compartilhamento de informações entre bancos deve aumentar a identificação de contas usadas em esquemas, viabilizar mais devoluções e desincentivar a reincidência. O MED não se aplica a desacordos comerciais, conflitos entre terceiros de boa-fé ou erro de digitação de chave pelo próprio pagador.
A Federação Brasileira de Bancos alerta para um golpe secundário ligado ao MED. O criminoso envia um Pix de valor baixo para a vítima, alega erro e pede estorno para uma terceira conta, diferente da origem. Em seguida, aciona o MED alegando fraude. Como o estorno foi para conta diversa, os bancos entendem como golpe e bloqueiam a conta de quem devolveu. A orientação da Febraban é sempre usar a função Devolver no extrato do Pix dentro do aplicativo, que envia automaticamente para a conta de origem, e nunca transferir para chave nova indicada por mensagem.
Protocolo de seis checagens antes de digitar a senha reduz risco
A prevenção, segundo o Banco Central e a Febraban, depende de um ritual de 15 segundos antes de confirmar. Primeiro, checagem do destinatário. O nome exibido na tela deve bater com razão social ou nome fantasia do estabelecimento. Divergência é sinal para cancelar. Segundo, conferência do montante. Em QR Code estático, o valor é digitado pelo pagador e deve ser revisado. Em dinâmico, o valor já vem preenchido e deve coincidir com a fatura. Terceiro, inspeção visual do código. Em comércio físico, verificar se não há adesivo colado sobre placa original, comum em mesas de bar, feiras e ambulantes. Quarto, filtro de contatos desconhecidos. Desconfiar de QR Codes enviados por WhatsApp, e-mail ou redes sociais com cobrança não solicitada ou promoção. Quinto, atenção ao gatilho de urgência. Promessas de desconto relâmpago ou ameaça de cancelamento servem para forçar ação impensada. Sexto, revisão final no aplicativo. Conferir tela de síntese, manter app atualizado e nunca entregar celular desbloqueado a terceiros.
Em caso de suspeita, a recomendação é falar imediatamente com o banco pelos canais oficiais, reunir comprovantes, dados do recebedor, horário e local, e registrar boletim de ocorrência. O contato com o banco deve ocorrer antes de qualquer tentativa de negociação com o suposto recebedor, para aumentar a chance de bloqueio do saldo ainda existente.
