Golpe QR code falso como funciona: o Brasil registrou 4,7 milhões de fraudes via Pix em 2024. QR codes colados em restaurantes, faturas falsas por e-mail e lives piratas são os três formatos principais. Saiba como identificar e se proteger.
Por NSE — Não Seja Enganado
O jogo estava no segundo tempo quando o aviso apareceu na tela.
“Faça o Pix mais alto até os 25 minutos e leve R$ 4 mil para casa. Pagamento ao vivo, comprovante na tela.”
A transmissão era de um jogo do Flamengo. O canal, no YouTube, parecia legítimo. O narrador era o da Band Sports — a imagem tinha sido pirateada e retransmitida sem autorização. O QR Code apareceu na tela. Algumas pessoas enviaram. O dinheiro foi. O “prêmio” nunca chegou.
Um torcedor de Maringá, que preferiu não se identificar, relatou à Rede Coxa que caiu nesse golpe atraído pela promessa de um prêmio fácil durante uma transmissão ilegal. A promessa era de até quinze mil reais para quem fizesse o Pix mais rápido.
Esse é apenas um dos formatos do golpe do QR Code falso — o mais visível, o mais fácil de identificar. Os outros dois são silenciosos. E justamente por isso, mais perigosos.
Os Números de Uma Fraude que Cresceu 43% em Dois Anos
O Pix se tornou o meio de pagamento mais usado no Brasil. E se tornou também o principal canal de escoamento de dinheiro roubado.
O Banco Central registrou aproximadamente 4,7 milhões de casos de fraude via Pix ao longo de 2024 — média de mais de 390 mil notificações por mês. A Febraban aponta crescimento de 43% nos golpes com Pix em dois anos, com perdas totais de R$ 2,7 bilhões só nessa modalidade.
O prejuízo médio por vítima chegou a R$ 2.100 — valor superior ao salário mínimo.
Entre julho de 2024 e junho de 2025, cerca de 24 milhões de brasileiros foram vítimas de golpes financeiros envolvendo Pix ou boletos bancários, com prejuízo estimado em quase R$ 29 bilhões, segundo o Fórum Brasileiro de Segurança Pública. Em 2025, os golpes com Pix cresceram 70% em relação ao ano anterior.
Esses números existem por uma razão específica: o Pix é instantâneo e irreversível. Quando o dinheiro sai, ele já chegou na conta de quem recebeu. Não há janela de cancelamento. Não há carência. O tempo de reação é zero.
Os golpistas sabem disso. E constroem cada variação para explorar esse segundo de distração.
O Golpe do QR Code Colado: O Mais Silencioso de Todos
Você está no restaurante. Pede a conta. O garçom traz o QR Code para pagamento — ou está na própria mesa, impresso num cartão ou colado num suporte.
Você aponta a câmera. Confirma o valor. Paga.
O que você não sabe é que o QR Code que você escaneou não era o do restaurante.
Criminosos entram em estabelecimentos — restaurantes, estacionamentos, postos de gasolina, hospitais, bicicletários — e colam adesivos com QR Codes falsos sobre os originais. O adesivo é praticamente idêntico. A sobreposição é quase imperceptível. Quando escaneado, direciona o pagamento para uma conta de laranja controlada pelo golpista.
A Federação dos Hotéis, Restaurantes e Bares do Estado de São Paulo estimou perdas de R$ 100 bilhões no setor de hospitalidade e alimentação no Brasil em 2024, causadas por fraudes que incluem a adulteração de QR Codes.
Em 2024, o golpe atingiu também os sistemas de bicicletas compartilhadas do Rio de Janeiro e de São Paulo. Criminosos retiravam o adesivo original das bikes e colavam QR Codes falsos sobre eles. O usuário pagava pelo aluguel, mas desbloqueava outra bicicleta — em uma estação diferente, à disposição dos golpistas. A luz verde acendia normalmente. Nada parecia errado.
O golpe é chamado de quishing pelos especialistas em cibersegurança — junção de QR Code com phishing. E seu principal trunfo é a invisibilidade: visualmente, não existe diferença entre o código legítimo e o adulterado.
O sinal de alerta físico: passe o dedo na borda do QR Code. Se sentir que há um adesivo colado sobre outro, ou se o papel parecer levantado nas bordas, não escaneie. Confirme com o funcionário do estabelecimento qual é o QR Code oficial.
O Golpe do QR Code por E-mail: A Fatura que Não Era Fatura
Você recebe um e-mail da sua operadora de internet. Ou da sua seguradora. Ou do seu fornecedor. O visual é idêntico ao original — mesma fonte, mesmo logo, mesmo leiaute. A fatura tem um QR Code para pagamento via Pix com desconto de 5% para quem pagar agora.
Você abre o aplicativo do banco. Escaneia o QR Code. Confirma.
O dinheiro foi para a conta errada.
Esse golpe funciona porque explora dois fatores simultâneos: o hábito de pagar contas por Pix e a confiança visual no e-mail que parece legítimo. Os criminosos constroem e-mails que imitam com precisão os modelos das empresas — mesmas cores, mesmo rodapé, mesmo tom de linguagem. A diferença está apenas no QR Code incorporado, que aponta para uma conta diferente da empresa real.
Em versões mais sofisticadas, o e-mail inclui o valor correto da fatura real — dado obtido em vazamentos de dados ou por acesso indevido a contas de e-mail. A vítima não desconfia porque o valor bate com o que ela esperava pagar.
A regra de proteção: nunca pague uma fatura por QR Code recebido em e-mail sem verificar o destinatário diretamente no aplicativo do banco. Antes de confirmar qualquer Pix, o aplicativo mostra o nome do destinatário. Se o nome não corresponde à empresa que você quer pagar — é golpe. Cancele imediatamente.
O Golpe da Live: O QR Code que Aparece na Tela
Esse golpe tem três variações que se multiplicaram com o crescimento das transmissões ao vivo no YouTube e Instagram.
A transmissão pirata com sorteio falso
Criminosos pirateiam sinais de canais esportivos e retransmitem jogos de futebol sem autorização no YouTube. Durante a transmissão, interrompem a narração para oferecer “prêmios” via Pix: quem fizer a maior transferência até um determinado tempo do jogo leva R$ 4 mil, R$ 10 mil, R$ 15 mil.
O QR Code aparece na tela. Alguns espectadores enviam. Quando o tempo esgota, os golpistas exibem na tela um comprovante de transferência falso para um suposto “ganhador” — que pode não existir — e recomeçam o ciclo. O chat fica bloqueado para que outros usuários não alertem as vítimas.
Para garantir a continuidade, os golpistas compram vários canais simultaneamente. Quando o YouTube derruba um, outro já está ativo.
O QR Code substituído em live legítima
Em uma variação mais sofisticada, golpistas invadem contas de criadores de conteúdo reais durante transmissões ao vivo e substituem o QR Code de doações exibido na tela pelo seu próprio. Os seguidores, que já conhecem e confiam no criador, fazem as transferências sem desconfiar.
A live de “investimento” ou “sorteio” com celebridade
Canais falsos exibem vídeos editados de celebridades ou empresários conhecidos anunciando sorteios ou oportunidades de investimento. O QR Code na tela pede um Pix inicial para “participar” ou “duplicar o valor”. Quanto maior o Pix enviado, maior o prêmio prometido.
Como identificar uma live golpe: a transmissão tem baixa qualidade ou imagem invertida — feita propositalmente para dificultar a denúncia automática das plataformas. O chat está bloqueado ou com restrição de comentários. Há urgência de tempo para fazer a transferência. Nenhuma transmissão legítima sorteia dinheiro via Pix para quem transferir mais.
O Que Fazer Antes de Escanear Qualquer QR Code
A proteção contra o golpe do QR Code falso é, em grande parte, um hábito de segundos.
Antes de escanear: verifique se há adesivo sobreposto. Passe o dedo na borda. Se o papel estiver levantado ou houver camadas visíveis, não escaneie. Em estabelecimentos, confirme com o funcionário qual é o código oficial.
Depois de escanear, antes de confirmar: leia o nome do destinatário que aparece no aplicativo do banco. Esse é o momento mais importante. O nome deve corresponder exatamente ao estabelecimento onde você está. Se aparecer um nome de pessoa física ou uma empresa que você não reconhece, cancele.
Em e-mails com QR Code: não pague diretamente pelo código recebido. Acesse o aplicativo ou site da empresa pelo caminho que você já usa normalmente, e realize o pagamento de lá. O QR Code de e-mail é o ponto de entrada do golpe — nunca é o caminho seguro.
Em lives e transmissões ao vivo: nenhuma transmissão legítima pede Pix em troca de prêmios. Nenhuma celebridade distribui dinheiro em troca de transferências. Se apareceu QR Code pedindo dinheiro durante uma transmissão ao vivo, é golpe — independente de quem parece estar na tela.
Se Você Já Enviou o Pix: O Que Fazer Agora
A velocidade é o que separa a recuperação do prejuízo definitivo.
Ligue imediatamente para o banco e informe que você foi vítima de fraude. Solicite o acionamento do MED — Mecanismo Especial de Devolução do Pix, criado pelo Banco Central para casos de fraude comprovada. O banco tem 7 dias para analisar o pedido e, se a conta destinatária ainda tiver saldo, pode bloquear e devolver os valores. Nos primeiros 30 minutos após a transferência, a chance de bloqueio é significativamente maior.
Registre boletim de ocorrência online — disponível na maioria dos estados — com todos os detalhes: valor, horário, destinatário que apareceu no aplicativo, e qualquer evidência da fraude (print da live, print do e-mail, foto do QR Code adulterado).
Se o MED não resultar em devolução, a jurisprudência oferece caminhos adicionais. O Tribunal de Justiça de São Paulo, em julgamentos recentes envolvendo fraudes via Pix, tem condenado bancos destinatários que abriram contas de laranjas sem verificação adequada de identidade — com base na Resolução 4.753/2019 do Banco Central. A falha no momento de abertura da conta torna o banco responsável pelo prejuízo sofrido.
Para golpes em lives piratas, denuncie a transmissão na plataforma: no YouTube, clique nos três pontos ao lado do botão de compartilhar e selecione “Spam ou enganoso”. A denúncia pode derrubar o canal e impedir novas vítimas.
Os Sinais de Alerta que Aparecem Antes do Prejuízo
Reconhecer o golpe do QR Code antes de confirmar o pagamento é possível. Os padrões se repetem.
O QR Code está fixado com adesivo em local de fácil acesso — mesa de restaurante, estacionamento, suporte de bicicleta. A borda do papel parece levantada ou há camadas visíveis de material sobreposto.
O nome do destinatário no aplicativo do banco não corresponde ao estabelecimento onde você está pagando. Aparece um nome de pessoa física ou uma empresa desconhecida.
O e-mail com a fatura chegou de um endereço ligeiramente diferente do oficial — uma letra trocada, um domínio diferente, um sufixo adicionado.
A live tem qualidade ruim, chat bloqueado, e oferece dinheiro em troca de Pix com urgência de tempo.
Cada um desses sinais, isolado, pode passar despercebido.
Ler o nome do destinatário antes de confirmar qualquer Pix não passa de cinco segundos.
Esses cinco segundos interrompem todos os golpes descritos neste artigo.
Fontes: Febraban — Levantamento de Golpes com Pix 2024 (portal.febraban.org.br) · Banco Central do Brasil — Dados de fraudes via Pix 2024 · Fórum Brasileiro de Segurança Pública — Pesquisa sobre golpes com Pix jul/2024-jun/2025 · Rádio Senado — Cobertura da pesquisa do Fórum Brasileiro ago/2025 · Fhoresp — Estimativa de perdas no setor de alimentação e hospitalidade 2024 · Lab Notícias — Documentação de golpe em transmissão pirata no YouTube (2023) · Rede Coxa — Relato de vítima de golpe em live pirata, Maringá (2025) · TJSP — Jurisprudência sobre fraudes Pix e responsabilidade bancária 2024-2025. Todos os dados são verificáveis nas fontes indicadas.