Golpe do Pix troca QR Code em lojas virtuais; veja como evitar

Comprar em uma loja online, gerar o QR Code para pagar por Pix e confirmar a transferência em segundos é uma cena rotineira para milhões de brasileiros. É justamente essa naturalidade do dia a dia que uma nova fraude está explorando. Um golpe identificado em setembro de 2026 utiliza um tipo de vírus que se instala no computador ou no celular do consumidor e, no momento exato do pagamento, substitui o QR Code legítimo da loja por outro, gerado pelos criminosos. O dinheiro sai da conta da vítima, mas nunca chega ao lojista — vai direto para uma conta laranja controlada pelos golpistas.

O problema é sério porque a fraude não depende de o consumidor clicar em link suspeito no momento da compra, entregar senha ou ser convencido por telefone. Ela acontece dentro da tela do próprio checkout de lojas reais, muitas vezes de marcas conhecidas, e o QR Code adulterado aparece com visual idêntico ao original. Neste guia, você vai entender como o golpe funciona, por que ele é tão difícil de identificar, quais sinais podem denunciar a fraude antes de você confirmar o pagamento e o que fazer se acabou caindo no esquema.

Como funciona o novo golpe do Pix com troca de QR Code

O ponto de partida do golpe é a contaminação do dispositivo da vítima por um malware — o nome técnico para programas maliciosos criados para roubar dados ou desviar transações. Essa infecção normalmente acontece antes da compra: pode vir de um anexo de e-mail, de um aplicativo baixado fora das lojas oficiais, de uma extensão de navegador de origem duvidosa ou até de um site pirata de streaming ou downloads. O vírus fica instalado silenciosamente, sem travar o computador nem exibir mensagens estranhas, esperando um gatilho.

Esse gatilho é justamente a tela de pagamento por Pix. Quando o consumidor acessa o checkout de uma loja virtual e escolhe a opção Pix, o site legítimo gera um QR Code e um código copia-e-cola vinculados ao CNPJ da loja. O malware intercepta essa informação no navegador e a troca por um QR Code diferente, com o mesmo formato visual, mas apontando para uma conta bancária controlada pelos criminosos. Em alguns casos, o valor cobrado também é ajustado para bater exatamente com o preço da compra, o que reduz a chance de o consumidor desconfiar.

O usuário, então, abre o aplicativo do banco, faz a leitura do QR Code, confere que o valor está correto e confirma. Como o Pix é liquidado em segundos, o dinheiro cai imediatamente na conta do fraudador. Na maioria das vezes, a vítima só descobre o problema quando a loja avisa que o pedido não foi pago ou quando o pedido é cancelado por falta de confirmação da transação.

Por que a fraude é difícil de perceber no momento do pagamento

O que torna esse golpe especialmente perigoso é o fato de ele acontecer dentro de uma jornada de compra totalmente legítima. O consumidor está em um site real, comprando de uma loja real, usando o aplicativo real do seu banco. Não há link estranho para clicar, não há atendente ligando para pedir código, não há mensagem no WhatsApp pedindo pagamento urgente — nenhum dos alertas clássicos que o público já aprendeu a identificar aparece.

Outro fator complicador é a natureza do QR Code. Diferente de um número de conta, de uma agência ou de um CPF, o QR Code é apenas um desenho de quadradinhos pretos e brancos. É praticamente impossível olhar para dois códigos e dizer, a olho nu, qual é o verdadeiro e qual foi adulterado. O mesmo vale para o código copia-e-cola do Pix: trata-se de uma longa sequência de letras e números que o consumidor jamais decoraria.

A única barreira de checagem disponível é a tela de confirmação do aplicativo do banco, que mostra o nome do beneficiário, a instituição financeira e o valor antes da autorização final. E é justamente aí que mora a grande dica de proteção: se o nome exibido não é o da loja em que você está comprando, algo está errado.

Sinais de alerta antes de confirmar um Pix em compras online

Como o malware age de forma invisível, a defesa mais eficaz é criar o hábito de conferir alguns pontos rápidos antes de tocar em "confirmar" no aplicativo do banco. Esses cuidados valem para qualquer compra por Pix, mas se tornam ainda mais importantes diante deste novo tipo de golpe.

O primeiro sinal a observar é o nome do recebedor. Toda transação Pix mostra, na tela de confirmação, o nome da pessoa física ou da empresa que vai receber o dinheiro, além do CNPJ ou CPF parcialmente exibido. Em uma compra em loja virtual, esse nome precisa ter relação clara com a marca. Se você está pagando um pedido em uma grande varejista e a tela mostra o nome de uma pessoa física desconhecida, ou de uma empresa sem qualquer ligação com o site, cancele imediatamente.

O segundo ponto é a instituição financeira do recebedor. Grandes lojas costumam operar em bancos e instituições de pagamento consolidadas. Um recebedor cadastrado em uma instituição pouco conhecida, especialmente uma fintech recém-criada, merece atenção redobrada. Isso não significa que toda fintech é golpe — muitas são idôneas —, mas combinada a outros sinais estranhos é um forte indício de fraude.

O terceiro sinal é o valor. Um QR Code adulterado geralmente mantém o valor original da compra para não despertar suspeita, mas em algumas variantes do golpe pode haver diferença de centavos ou até de reais. Sempre confira se o valor exibido no aplicativo do banco bate exatamente com o valor que apareceu no checkout da loja.

Por fim, desconfie de lentidão anormal do computador, telas que "piscam" ao carregar o QR Code, ou de um QR Code que demora muito mais do que o habitual para ser gerado. Esses comportamentos podem indicar que um programa está interceptando a comunicação entre o navegador e a loja.

O que o Banco Central orienta sobre fraudes envolvendo Pix

O Pix é operado pelo Banco Central, que estabelece as regras de funcionamento e mantém canais de comunicação sobre segurança. De acordo com o Banco Central, o Pix em si é uma infraestrutura segura, e as fraudes que envolvem o meio de pagamento normalmente exploram falhas no dispositivo do usuário, engenharia social ou vazamento de credenciais — não vulnerabilidades da rede Pix.

Entre as recomendações oficiais para reduzir o risco de golpes estão manter o aplicativo do banco sempre atualizado, usar biometria ou senhas fortes para autorizar transações, cadastrar dispositivos confiáveis dentro do app e revisar periodicamente os limites de Pix — inclusive reduzindo o limite noturno e o limite por transação, quando o perfil de uso permitir. Para quem faz muitas compras online, vale considerar limites diferenciados para o horário comercial e para valores acima de uma determinada faixa.

O Banco Central também disponibiliza o Mecanismo Especial de Devolução (MED), que permite ao banco da vítima solicitar a devolução de recursos transferidos em situações de fraude, desde que o pedido seja aberto rapidamente e o dinheiro ainda esteja disponível na conta do recebedor. Não há garantia de recuperação — em muitos casos os criminosos esvaziam a conta em minutos — mas quanto mais rápido o pedido, maior a chance de sucesso.

Como proteger seu computador e celular contra o malware

Como a origem do golpe é a infecção do dispositivo, a proteção mais eficaz é impedir que o malware chegue até você. Algumas atitudes simples reduzem drasticamente esse risco.

A primeira delas é evitar baixar programas, aplicativos e extensões de navegador fora das lojas oficiais. Sites que oferecem versões "crackeadas" de softwares pagos, players de streaming pirata e utilitários gratuitos hospedados em páginas desconhecidas são a principal porta de entrada de vírus bancários no Brasil.

No celular, restrinja a instalação de aplicativos à Google Play (Android) e à App Store (iOS), e desconfie de qualquer instrução que peça para autorizar a instalação de fontes externas.

Mantenha o sistema operacional e o navegador sempre atualizados. As atualizações corrigem falhas de segurança que os criminosos exploram para instalar o malware sem que o usuário perceba. O mesmo vale para o antivírus, que deve estar ativo e atualizado — no Windows, mesmo o antivírus nativo do sistema já oferece uma camada relevante de proteção quando mantido em dia.

Desconfie de e-mails que pedem para você baixar boletos, notas fiscais, comprovantes ou currículos em anexo, especialmente se vierem de remetentes desconhecidos ou com endereços estranhos. Arquivos com extensões executáveis, planilhas com macros e PDFs com links suspeitos são vetores comuns de infecção.

Outra medida importante é separar o dispositivo usado para acessar o banco e fazer compras dos dispositivos usados para navegação livre, jogos ou downloads. Nem sempre é possível, mas quem tem essa flexibilidade reduz muito a superfície de ataque. Para o público que faz Pix pelo celular, evitar clicar em links recebidos por SMS e WhatsApp também é regra básica de segurança.

Por fim, sempre que possível, prefira usar o próprio aplicativo do banco para fazer a leitura do QR Code diretamente da tela do checkout, em vez de copiar e colar o código. Isso não elimina o risco em todos os cenários, mas dificulta a ação de algumas variantes de malware que atuam sobre o texto copiado.

O que fazer se você caiu no golpe do QR Code adulterado

Se, mesmo com todos os cuidados, você acabou pagando um Pix que foi desviado por fraude, o tempo é o fator mais crítico. As primeiras horas após a transação são decisivas para tentar recuperar o dinheiro.

O passo inicial é entrar em contato imediatamente com o seu banco, pelo canal oficial de atendimento (aplicativo, telefone que consta no verso do cartão ou agência), e registrar a ocorrência como fraude.

Peça formalmente a abertura do Mecanismo Especial de Devolução (MED), informando data, horário, valor e, se possível, os dados do recebedor que apareceram na confirmação. O banco então aciona a instituição do recebedor para tentar bloquear e devolver o valor.

Em paralelo, registre um boletim de ocorrência. Muitos estados já permitem o registro online por meio das delegacias eletrônicas. O B.O. é importante tanto para eventual investigação policial quanto para embasar contestações administrativas e judiciais.

Avise também a loja em que a compra foi feita. Muitas vezes, o pedido ainda não foi despachado e o comerciante pode identificar que outros clientes tiveram o mesmo problema, ajudando a mapear a fraude. Envie prints da tela de confirmação e do QR Code que você leu.

Depois, tome cuidados de higiene digital: rode uma varredura completa do antivírus, remova extensões suspeitas do navegador, desinstale aplicativos que você não reconhece e, se possível, considere formatar o dispositivo. Troque as senhas dos aplicativos bancários e ative dupla autenticação em todos os serviços que permitirem. Enquanto o malware estiver no aparelho, o risco de uma nova fraude continua.

Se o banco negar o pedido de devolução ou se recusar a investigar, o consumidor pode registrar reclamação no Banco Central pelo canal oficial de reclamações contra instituições financeiras, além de acionar o Procon e, em último caso, o Judiciário. A depender do caso concreto, a instituição financeira pode ser responsabilizada por falhas de segurança, especialmente se houver indícios de que a fraude poderia ter sido detectada por sistemas antifraude.

Conclusão: atenção redobrada em cada Pix

O golpe do malware que troca o QR Code no checkout mostra que os criminosos estão se adaptando ao comportamento do consumidor brasileiro, que hoje paga a maior parte das compras online por Pix. Como a fraude ocorre dentro de uma jornada de compra legítima, sem sinais óbvios de armadilha, o principal escudo do consumidor passa a ser o hábito de conferir, em cada transação, o nome do recebedor, a instituição financeira e o valor exibidos pelo aplicativo do banco antes de autorizar o pagamento.

A regra prática é simples: se o nome que aparece na tela de confirmação do Pix não é o da loja em que você está comprando, não confirme. Cancele, refaça a compra em outro dispositivo, ou escolha outro meio de pagamento. Alguns segundos de conferência podem evitar prejuízos que, em muitos casos, não são recuperados.

O próximo passo, ainda hoje, é revisar os limites do seu Pix no aplicativo do banco, reduzir valores máximos por transação para o patamar compatível com suas compras habituais e ativar a biometria como forma de confirmação. Essas medidas não impedem a infecção do aparelho por malware, mas reduzem o tamanho do prejuízo caso o golpe aconteça — e dão mais tempo para você reagir.

Referências

• Banco Central — orientações oficiais sobre segurança no Pix (limites, biometria e dispositivos confiáveis)
• Banco Central — Resolução BCB nº 103/2021, que instituiu o Mecanismo Especial de Devolução (MED)