Golpe do QR Code falso: como verificar antes de pagar, entrar ou instalar alguma coisa
2026-07-27T11:00:00Z
Adesivos falsos podem cobrir QR Codes de estacionamento, cardápio e pagamento. Aprenda a conferir o endereço, validar o recebedor do Pix, evitar aplicativos falsos e agir quando o código abre uma página suspeita.
QR Code virou atalho universal. Cardápio, estacionamento, Wi-Fi, ingresso, pagamento e autenticação cabem num quadrado. A facilidade tem um defeito: você não enxerga o endereço antes de apontar a câmera.
Golpistas exploram isso colando um adesivo sobre o código original, enviando imagem falsa ou levando a uma página que imita o serviço. O golpe recebeu o apelido de quishing, mistura de QR Code e phishing.
A defesa não depende de reconhecer o desenho. Depende de ler o destino, confirmar o contexto e revisar a ação antes de concluir.
O QR Code não é perigoso por si
Ele armazena texto, endereço, contato ou dados de pagamento. O risco está no destino e na ação solicitada.
A câmera deveria mostrar uma prévia do endereço. Leia antes de abrir. Domínio estranho, erro de escrita e encurtador desconhecido merecem pausa.
Inspecione o ambiente físico
Em parquímetro, mesa, cartaz e terminal, procure adesivo sobreposto, borda levantada, impressão diferente e instruções improvisadas.
Quando houver dúvida, use o aplicativo oficial ou digite o endereço conhecido. Avise o estabelecimento.
QR Code de Pix
O aplicativo bancário mostra nome e, em alguns casos, instituição do recebedor antes da confirmação. Compare com a pessoa ou empresa esperada.
Não confirme apenas porque o valor está correto. Um código adulterado pode manter o preço e mudar o destinatário.
Leia nome, instituição, valor e descrição. Se o recebedor não faz sentido, cancele e confirme com o estabelecimento.
Cardápio que pede instalação
Um cardápio comum deveria abrir uma página ou PDF. Se o QR Code pede para instalar aplicativo fora da loja oficial, habilitar permissão ou baixar arquivo executável, feche.
Mesmo aplicativos em lojas oficiais precisam ser conferidos pelo nome do desenvolvedor e site da empresa.
Login e autenticação
QR Codes são usados para entrar em serviços no computador. Confirme que você iniciou o processo e que a página exibida é oficial.
Nunca leia um código enviado por desconhecido com promessa de prêmio ou suporte. Ele pode autorizar sessão em outra máquina.
Encurtadores escondem o destino
Links curtos têm usos legítimos, mas dificultam inspeção. Em pagamento ou login, prefira endereço oficial visível.
Se a prévia não mostra o domínio final, não avance em tarefa sensível.
HTTPS não prova legitimidade
O cadeado indica conexão criptografada com aquele domínio. Um site falso também pode usar HTTPS. Confira o nome do endereço.
Erros sutis, subdomínios longos e letras parecidas são mais importantes do que a presença do cadeado.
Configuração no celular
Mantenha sistema atualizado, bloqueie instalação de fontes desconhecidas e use proteção contra sites perigosos.
Evite aplicativos de leitura de QR Code quando a câmera nativa já faz o trabalho. Menos aplicativos significam menos permissões.
O que fazer após abrir um código suspeito
Se você apenas abriu e não digitou dados nem instalou nada, feche e limpe downloads. Se informou senha, altere pelo site oficial e encerre sessões.
Se confirmou pagamento, contate o banco imediatamente. Guarde foto do adesivo, endereço aberto e comprovante para denúncia.
Protocolo de dez segundos
Veja se há adesivo sobreposto, leia a prévia do domínio, confirme que iniciou aquela ação, confira o recebedor no Pix e não instale arquivos fora da loja.
Esse ritual curto reduz a chance de agir no piloto automático.
Checklist prático
- Inspecionar adesivo e impressão
- Ler o domínio antes de abrir
- Conferir o recebedor do Pix
- Evitar instalação fora da loja
- Não escanear códigos enviados por suporte desconhecido
- Guardar evidências em caso de fraude
Perguntas rápidas
O cadeado prova que o site é verdadeiro?
Não. Ele prova que a conexão com aquele domínio é criptografada.
Posso usar qualquer leitor de QR Code?
Prefira a câmera nativa ou recurso do sistema para reduzir aplicativos e permissões.
Um QR Code pode instalar algo sozinho?
Normalmente ele abre um endereço ou download. Não autorize instalação nem permissões inesperadas.
O que fazer com um adesivo suspeito?
Não remova se isso puder causar conflito. Avise o responsável pelo local e registre uma foto.
QR Code impresso não pode ser atualizado
Um código estático continua apontando para o mesmo conteúdo. Empresas usam redirecionadores para mudar o destino sem reimprimir. Isso é conveniente, mas esconde o endereço final.
Em serviços sensíveis, prefira códigos que levem ao domínio oficial. Encurtadores próprios devem ser documentados no local ou no aplicativo.
Golpe em cobrança e boleto
Uma fatura falsa pode trazer código de pagamento que direciona para recebedor diferente. Confirme a cobrança no aplicativo oficial ou área autenticada.
Não use contato impresso no próprio documento suspeito para verificar. Procure o canal oficial por outra fonte.
Estacionamento e parquímetro
Adesivos falsos exploram pressa e medo de multa. Antes de pagar, confirme se o município ou empresa usa aquele aplicativo e se o domínio pertence ao serviço.
Funcionários e placas oficiais podem indicar o método correto. Um valor pequeno ainda expõe cartão, login e dados pessoais.
QR Code em eventos e ingressos
O risco pode ser inverso: publicar foto do próprio ingresso permite que outra pessoa copie o código e entre primeiro. Não poste códigos de acesso antes do uso.
Depois do evento, ainda pode haver dados pessoais ou identificadores. Cubra o código em fotos públicas.
Empresas também precisam proteger seus códigos
Inspecione adesivos, use material difícil de sobrepor, mostre domínio ao lado e treine funcionários para reconhecer alteração.
Em pagamentos, exiba o nome esperado do recebedor. O cliente deve saber o que verá no aplicativo bancário.
O navegador pode ajudar, mas não decidir por você
Proteções detectam domínios maliciosos conhecidos, mas páginas novas podem passar. A prévia do endereço e a confirmação do contexto continuam essenciais.
Não ignore aviso de segurança para concluir uma tarefa simples. Volte ao canal oficial e comece de novo.
O papel das senhas e códigos de autenticação
Uma página aberta por QR Code não precisa do código de seis dígitos que acabou de chegar, salvo quando você iniciou um login legítimo. Se um suposto suporte pede o código, encerre.
Códigos temporários confirmam ações. Compartilhá-los entrega ao golpista a etapa que faltava.
QR Code para Wi-Fi
Um código pode configurar rede e senha. Em locais públicos, confirme o nome com funcionário. Redes falsas imitam o estabelecimento para observar tráfego ou mostrar páginas de login.
Evite tarefas sensíveis em Wi-Fi desconhecido e mantenha compartilhamento de arquivos desativado.
Como ensinar sem criar medo
Explique que QR Code é apenas um endereço escondido. A pessoa não precisa ter medo de usar, precisa olhar a prévia e a confirmação.
Treine com exemplos de Pix e cardápio. Uma regra simples é mais lembrada do que nomes técnicos.
Denúncia ajuda outras pessoas
Avise estabelecimento, banco, plataforma e órgão responsável. Um adesivo removido evita novas vítimas.
Não publique o link malicioso de forma clicável ao alertar amigos. Use captura com parte do endereço ocultada.
Um exercício rápido para criar hábito
Na próxima vez que usar um QR Code legítimo, pare antes de abrir e leia o endereço. No Pix, leia o recebedor em voz baixa. Esse treino em situação normal cria memória para o momento de pressa.
Segurança funciona melhor quando o comportamento é automático. Esperar uma situação suspeita para aprender aumenta a chance de agir por impulso.
Checklist para estabelecimentos
Imprima o domínio e o nome do recebedor perto do código, use material resistente, faça inspeção diária e ofereça alternativa pelo aplicativo oficial.
Treine a equipe para não culpar o cliente que pergunta. Uma confirmação bem atendida fortalece confiança e ajuda a descobrir adulteração cedo.
Meu veredito
QR Code deve ser tratado como link. A diferença é que ele esconde o texto até a leitura.
Olhe o destino, confirme o contexto e revise a tela final. Dez segundos de verificação valem mais do que tentar reconhecer o desenho do código.