Golpe do QR Code e do Pix: como proteger a sua PME
Pagar com QR Code virou rotina: o cliente aponta o celular, confere o valor e confirma. É justamente essa rapidez que os golpistas exploram. Em vez de invadir o sistema da sua empresa, eles trocam o código ou copiam a cobrança, e o dinheiro vai para a conta errada. Para a PME, o prejuízo pode ser dos dois lados: um cliente que paga um código adulterado e acha que quitou, ou um funcionário que paga um fornecedor falso.
Este guia explica como o golpe funciona, quais sinais observar e o que a sua empresa pode fazer, sem depender de ferramenta cara.
Ilustração do artigo
O que é o quishing
Quishing é o golpe do QR Code. Acontece quando criminosos substituem um código legítimo por um falso, ou criam códigos novos, para levar a vítima a pagar à conta errada, abrir uma página fraudulenta ou entregar dados. O nome vem da mistura de QR code com phishing.
O ponto fraco do QR Code é simples: o olho humano não lê o código. Duas imagens quase idênticas apontam para destinos totalmente diferentes, e a pessoa só descobre depois.
Ilustração do artigo
Três formas de aplicar o golpe
1. Fatura falsa com Pix
Segundo relatos da Kaspersky divulgados pela imprensa, golpistas falsificam faturas de empresas, com código Pix e às vezes código de barras. Os documentos são copiados quase idênticos aos originais, vêm de e-mails com remetentes mascarados e, em alguns casos, oferecem desconto para pagar pelo QR Code. Também há casos em que a fatura falsa traz dados reais do cliente, como nome, endereço e CPF, provavelmente de vazamentos, o que ajuda a convencer. Os alvos incluem pessoas físicas e empresas, e as ofertas costumam se passar por provedores de internet, telefonia e TV.
2. Adesivo sobre o QR Code original
Em balcões, mesas e máquinas de autoatendimento, o criminoso cola um adesivo com outro código por cima do original. O cliente paga ao golpista e o estabelecimento só nota depois, quando o valor não aparece no caixa.
3. Código em mensagem ou boleto
Mensagens, e-mails e até boletos impressos com QR Code adulterado levam a páginas que imitam bancos e empresas. A presença de HTTPS no endereço não garante que a página seja legítima.
Ilustração do artigo
Por que o Pix é tão atraente para os golpistas
Ao contrário do boleto, que pode ser anulado junto ao banco, o Pix é instantâneo e não pode ser cancelado depois da confirmação. Os valores costumam cair em contas de laranjas, e o dinheiro é movimentado em minutos. Quando o erro aparece, a recuperação é difícil, por isso a prevenção pesa mais do que a reação.
Sinais de alerta
- Urgência. Prazo curto, ameaça de corte de serviço ou "última chance".
- Desconto fora do normal para pagar via QR Code.
- Mudança de conta. Fornecedor antigo que, do nada, passa a cobrar em outra conta.
- Nome do recebedor diferente. O app mostra uma pessoa física ou uma empresa que não é a que você espera.
- Remetente estranho. Endereço de e-mail parecido com o oficial, mas com letras trocadas.
- QR Code sobreposto. Adesivo com borda levantada ou diferente do restante da placa.
Passo a passo para proteger a PME do golpe do QR Code
Quando você paga
- Antes de confirmar, leia o nome do recebedor na tela do app e compare com a razão social do fornecedor.
- Se a cobrança chegou por e-mail ou mensagem, confirme por telefone ou canal oficial que já esteja no seu cadastro, não pelo contato da própria mensagem.
- Crie uma regra de dupla checagem: pagamentos acima de um valor combinado exigem a conferência de uma segunda pessoa.
- Desconfie de qualquer troca de dados bancários e exija confirmação formal por escrito.
Quando você recebe
- Gere o QR Code pelo seu banco ou pela maquininha, nunca imprima uma imagem copiada de outro lugar.
- Confira todos os dias os adesivos e placas no balcão e instrua a equipe a avisar se algo parecer trocado.
- Concilie os recebimentos diariamente: um valor que o cliente diz ter pago e não caiu merece investigação na hora. Um dashboard financeiro ajuda a enxergar diferenças cedo.
- Avise os clientes, em canal oficial, de como as suas cobranças são enviadas e quais contas são as verdadeiras.
Se o golpe já aconteceu
- Procure o banco imediatamente e informe o ocorrido.
- Guarde comprovantes, e-mails, mensagens e imagens do QR Code.
- Registre um boletim de ocorrência.
- Se digitou senha em alguma página, troque-a e ative a verificação em duas etapas.
Como a falha de processo vira prejuízo
Quase todos os casos de desvio têm algo em comum: não foi preciso invadir sistema nenhum. Bastou que alguém pagasse com pressa. Por isso o controle mais eficaz é de processo: quem aprova pagamentos, qual o limite, como se confirma uma troca de conta. Se a sua empresa vende a prazo, vale também olhar o outro lado, com os indicadores de inadimplência, para separar um cliente que atrasou de um pagamento que foi para a conta errada.
E se você usa QR Codes para divulgar a empresa, saiba que também dá para criar o seu com segurança: nosso guia mostra como gerar um QR Code e conferir para onde ele aponta.
Exemplo prático: como um pagamento errado acontece numa PME
Imagine uma distribuidora hipotética com uma pessoa no financeiro e um dono que aprova pagamentos pelo celular. Numa sexta-feira à tarde, chega um e-mail que parece ser de um fornecedor antigo, avisando que a conta bancária mudou e anexando um boleto com QR Code Pix para a fatura do mês. O valor é o esperado, o logotipo está certo e o texto cita o número do pedido real. A pessoa do financeiro, com pressa para fechar a semana, paga pelo QR Code.
Na segunda-feira, o fornecedor cobra a fatura. O dinheiro foi para uma conta de terceiros e o Pix, depois de confirmado, não tem botão de desfazer. O problema não foi tecnológico: nenhum sistema foi invadido. Faltou uma regra de processo que mandasse conferir a troca de conta por outro canal antes de pagar. Esse é o padrão em quase todos os casos desse tipo, e é por isso que a prevenção mais eficaz é organizacional.
Uma regra de pagamento em cinco camadas
Em vez de depender da atenção de uma pessoa, monte camadas de proteção, cada uma simples e barata:
- Cadastro de fornecedores: mantenha uma lista oficial com razão social, CNPJ e conta bancária de cada fornecedor. Todo pagamento é conferido contra esse cadastro, e não contra o que veio no e-mail.
- Troca de conta só com confirmação formal: qualquer pedido de mudança de dados bancários exige confirmação por telefone, usando o número que já estava no cadastro, e registro por escrito.
- Dupla aprovação por valor: defina um valor acima do qual duas pessoas precisam aprovar o pagamento, uma que prepara e outra que libera.
- Conferência do nome do recebedor: antes de confirmar o Pix, leia o nome que aparece na tela e compare com a razão social do fornecedor.
- Janela de calma: pagamentos fora do padrão (valor diferente, fornecedor novo, urgência) esperam algumas horas e passam por uma segunda checagem.
Nenhuma dessas camadas exige ferramenta paga. O que elas exigem é combinar a regra, escrevê-la e treinar quem faz os pagamentos.
Proteção de quem recebe: o balcão e a cobrança
Se a sua empresa recebe por QR Code, o risco é inverso: o cliente paga, mas o dinheiro não chega. Medidas que reduzem a chance:
- Use a plataforma do próprio banco ou da maquininha para gerar o código, e não uma imagem salva de outro lugar.
- Proteja o QR Code físico: prefira placas fixadas ou protegidas com acrílico lacrado, que dificultam a colagem de um adesivo por cima. Inclua na rotina de abertura da loja a conferência visual das placas.
- Confirme o recebimento pelo extrato ou aplicativo, e não apenas pelo comprovante que o cliente mostra no celular. Um comprovante de tela pode ser falsificado.
- Treine a equipe para estranhar situações como cliente com pressa pedindo para "liberar" o produto antes de o valor cair.
- Avise o cliente em canal oficial de como cobranças reais da empresa são enviadas (e-mail de qual endereço, qual conta aparece como recebedora).
Como verificar um QR Code ou um link antes de pagar
Um QR Code é só uma forma de transportar um texto. Antes de agir, vale olhar o conteúdo que ele carrega. Algumas verificações práticas:
- Muitos leitores de QR Code mostram o endereço ou o texto antes de abrir. Leia esse endereço com atenção, procurando letras trocadas e domínios parecidos com o oficial.
- No caso do Pix, o aplicativo do banco mostra o nome do recebedor e o valor antes da confirmação. Essa tela é a verificação mais importante.
- Se o código veio por e-mail ou mensagem, abra o site da empresa digitando o endereço no navegador, em vez de usar o link recebido, e confira se a cobrança consta na área do cliente.
- Desconfie de cobranças que fogem do padrão: valor diferente do habitual, vencimento incomum, ou desconto por pagar imediatamente.
Treinamento da equipe em quinze minutos
Segurança depende de gente, e a conscientização não precisa ser longa. Uma conversa curta, repetida a cada semestre e sempre que entrar um funcionário novo, já muda o comportamento. Um roteiro possível:
- Mostre um exemplo real (ou hipotético, como o do início do artigo) de pagamento desviado e peça que o grupo identifique onde o processo falhou.
- Apresente as cinco camadas de proteção e o motivo de cada uma.
- Deixe claro que ninguém será punido por parar um pagamento para conferir, mesmo que fosse legítimo. Se a cultura pune a demora, as pessoas pagam com pressa.
- Defina a quem recorrer em caso de dúvida e como relatar um erro rapidamente, porque a velocidade da reação ainda pode salvar parte do dinheiro.
Se o erro acontecer: a primeira hora importa
Quando o pagamento já foi feito para a conta errada, o tempo conta. Os primeiros passos, na ordem:
- Acione o banco imediatamente pelo canal oficial de atendimento a fraudes e informe o ocorrido, com horário, valor e dados da transação. O Pix tem um mecanismo de devolução em casos de fraude que depende de a instituição ser avisada com rapidez.
- Reúna as provas: comprovante da transação, e-mail ou mensagem recebida (com os cabeçalhos, se possível), imagem do QR Code e qualquer troca com o suposto fornecedor.
- Registre um boletim de ocorrência, que costuma ser exigido pelo banco para dar andamento ao pedido.
- Avise o fornecedor verdadeiro por um canal seguro, porque o golpista pode estar usando o nome dele com outros clientes.
- Revise o acesso: troque senhas, ative a verificação em duas etapas e verifique se mais algum dado foi exposto.
Não há garantia de recuperação do valor, e este texto não substitui a orientação do seu banco ou de um advogado. O ponto é que cada hora perdida diminui a chance de reaver o dinheiro.
Conciliação diária: o hábito que descobre o problema cedo
Empresas que concilam os recebimentos todos os dias percebem diferenças em horas, e não em semanas. A conciliação consiste em comparar o que o sistema de vendas diz que deveria ter entrado com o que de fato aparece no extrato. Qualquer diferença, mesmo pequena, merece investigação no mesmo dia. Para organizar esse acompanhamento, o guia de dashboard financeiro para pequenas empresas mostra como montar um painel que destaca divergências, e o texto sobre alertas inteligentes explica como ser avisado quando um valor esperado não chega.
Checklist de proteção para PMEs
- Existe um cadastro oficial de fornecedores com conta bancária conferida.
- Troca de conta bancária só vale com confirmação por telefone, usando o contato já cadastrado.
- Pagamentos acima de um valor combinado têm dupla aprovação.
- Quem paga confere o nome do recebedor na tela antes de confirmar.
- Os QR Codes da loja são gerados pelo banco ou pela maquininha e as placas são conferidas diariamente.
- O recebimento é confirmado pelo extrato, não pelo comprovante mostrado pelo cliente.
- A equipe sabe que parar um pagamento para conferir é aceito e valorizado.
- Todos sabem o que fazer na primeira hora depois de um erro.
- A empresa concilia os recebimentos todos os dias.
Perguntas frequentes de quem recebe e de quem paga
O QR Code estático e o dinâmico têm o mesmo risco?
Não. O QR Code estático carrega sempre os mesmos dados e pode ser copiado ou substituído por um adesivo sem que ninguém perceba. O dinâmico é gerado para uma cobrança específica, com valor e identificador, e costuma ser mais seguro para vendas porque cada pagamento tem um código próprio. Se a sua operação usa muito QR Code no balcão, vale conversar com o banco ou a operadora de maquininha sobre as opções de código dinâmico.
Como orientar clientes que pagam por QR Code na minha loja?
Um aviso simples no balcão ajuda: peça que o cliente confira o nome do recebedor na tela do aplicativo antes de confirmar, e diga qual nome deve aparecer. Assim, o próprio cliente se torna uma camada de proteção, e um adesivo trocado é percebido na hora, antes de o dinheiro sair.
Preciso me preocupar com QR Codes que eu mesmo divulgo?
Sim, em dois sentidos. Os códigos que a empresa imprime em cartões, cardápios e panfletos devem apontar para endereços sob o seu controle e ser conferidos periodicamente. E, se o domínio ou a página de destino deixar de existir, o código pode passar a apontar para um endereço que terceiros registram depois, o que é um risco. Revise os materiais impressos quando mudar de site.
O que fazer com e-mails suspeitos de cobrança?
Não clique nem pague. Encaminhe ao responsável pela segurança, ou ao financeiro, para verificação por outro canal. Se a cobrança parece legítima, entre no site ou aplicativo do fornecedor digitando o endereço e confira se a fatura existe lá. Marcar a mensagem como spam ou phishing no provedor de e-mail também ajuda a proteger os demais usuários.
Vale incluir esse tema na política de segurança da empresa?
Vale. Um documento curto, de uma página, com as cinco camadas de proteção, os limites de aprovação e o procedimento de resposta a incidentes é suficiente para uma PME. O importante é que seja conhecido pela equipe e revisado de tempos em tempos, pois as técnicas dos golpistas mudam.
Resumo para a equipe
O golpe do QR Code e do Pix funciona porque explora a pressa e a confiança, e não porque quebra sistemas. Por isso, as defesas mais eficazes são hábitos: conferir o nome do recebedor, confirmar trocas de conta por outro canal, ter dupla aprovação para valores altos e conciliar os recebimentos todos os dias. Combine essas regras, escreva-as numa página e repita a conversa com a equipe de tempos em tempos.
O que ainda não sabemos
Não encontramos estatísticas recentes e confiáveis sobre o volume desse golpe contra empresas no Brasil, e os primeiros relatos públicos da fatura falsa com Pix são de 2022. As técnicas mudam com frequência, por isso trate este texto como guia de prevenção, não como retrato do número atual de casos. Em dúvida, consulte o seu banco e um profissional de segurança.
Fontes consultadas
Mais artigos no blog