Conferir o valor não basta: o golpista mantém o mesmo valor e muda o destinatário. Veja o que checar no app do banco e o que fazer se já pagou
Resposta curta: antes de confirmar qualquer Pix de compra on-line, confira na tela do aplicativo do seu banco o nome e o CNPJ de quem vai receber — não só o valor. Se o recebedor não for a loja (ou a empresa de pagamento que ela usa), cancele. Essa é a única checagem que o golpista não consegue falsificar, porque quem mostra esses dados é o seu banco, não o site.
A pergunta apareceu com força nesta semana porque o Procon-SP alertou, em 12 de setembro, para uma nova modalidade de fraude que altera o QR Code do Pix exibido na página de pagamento de lojas virtuais. A troca também pode atingir o código “copia e cola”. Você acha que está pagando a loja; o dinheiro vai para a conta do criminoso.
Por que o golpe funciona
Quem já integrou Pix num sistema sabe: o QR Code nada mais é do que um texto — o mesmo “copia e cola” — desenhado em forma de quadradinhos. Dentro desse texto vão a chave ou a cobrança, o valor e o identificador do recebedor. O site gera esse texto e o seu celular apenas o lê.
O alerta do Procon não detalha como a adulteração é feita. Mas, do ponto de vista técnico, basta que alguém consiga mexer no que a página exibe — um site invadido, uma página falsa parecida com a original, um programa ou extensão maliciosa no computador — para trocar aquele texto por outro com o mesmo valor e outro destinatário. Por isso conferir o valor não protege: o golpista mantém o valor igual de propósito.
O que ele não controla é o aplicativo do seu banco. Ao ler o código, o app consulta o sistema do Pix e mostra quem é o dono da conta de destino. É ali que a fraude aparece.
Um exemplo concreto
Imagine uma compra de R$ 289,90 numa loja de roupas on-line cuja razão social é “Loja Exemplo Ltda.”. Você escaneia o QR Code e o app mostra: valor R$ 289,90, recebedor “J. S. Serviços Digitais”, CNPJ que não tem nada a ver com a loja. O valor bate, o nome não. Pela orientação do Procon-SP, não conclua o pagamento. Um detalhe importante: muitas lojas usam empresas de pagamento (intermediadoras), e aí o nome que aparece pode ser o dessa empresa — o que é normal se for a mesma indicada no processo de compra. Na dúvida, não pague e procure a loja por um canal oficial.
E se eu já paguei?
Aja rápido. Entre em contato com seu banco pelos canais oficiais, informe que foi golpe e peça a devolução pelo MED, o Mecanismo Especial de Devolução do Banco Central. Desde outubro de 2025 os bancos têm o botão de contestação dentro do próprio app, sem precisar ligar para a central.
Em fevereiro deste ano entrou em vigor o MED 2.0, que rastreia o caminho do dinheiro mesmo quando o golpista o espalha por várias contas — antes, a recuperação ficava limitada à primeira conta recebedora. Segundo o Banco Central, os valores podem ser recuperados em até 11 dias depois da contestação. A vítima tem até 80 dias da transação para contestar e, desde 1º de setembro, a Instrução Normativa BCB 766 também deu 80 dias (antes eram 30) para quem teve um valor devolvido indevidamente contestar a devolução — uma proteção pensada sobretudo para comerciantes.
Dois cuidados: o MED vale para fraude, golpe ou coação, não para Pix enviado por engano para a chave errada; e contestar não é garantia de reaver tudo, porque depende de haver saldo nas contas rastreadas. Além do banco, avise a loja e guarde prints, comprovantes e protocolos de atendimento.
O hábito que resolve
Três segundos a mais em toda compra: escaneou, leia o nome do recebedor antes de digitar a senha. É o mesmo princípio que usamos em segurança da informação dentro de qualquer organização: confie na informação que vem de uma fonte que o atacante não controla.
Onde saber mais
As opiniões desta coluna são pessoais do autor e não representam a Prefeitura da Estância Turística de São Roque nem qualquer outro órgão ao qual ele esteja vinculado.
