A Federação Brasileira de Bancos (Febraban) emitiu em 20 de outubro de 2026 um alerta sobre o golpe do QR Code falso, chamado de quishing. Os criminosos criam ou trocam QR Codes para desviar pagamentos por Pix e boleto, e o alerta cita os dois lados do balcão: a loja física, com adesivo colado por cima do código verdadeiro, e a loja virtual, que pode ter o QR Code ou os dados de pagamento trocados por quem explora falhas na plataforma.
Esse segundo ponto é o que interessa a quem vende online. Quando o golpe acontece dentro da sua loja, o cliente paga, o dinheiro vai para outra conta e a reclamação cai em você.
Como o golpe funciona
Segundo a Febraban, o quishing aparece de quatro formas principais:
- Adesivo sobre o QR Code verdadeiro em bares, restaurantes, feiras e estacionamentos;
- Boleto impresso adulterado, com QR Code ou código de barras trocado;
- Site falso que imita uma loja conhecida e gera o próprio QR Code de pagamento;
- Loja virtual verdadeira com falha explorada, em que o criminoso troca o QR Code ou os dados de pagamento exibidos ao cliente.
Em setembro, o Procon-SP já tinha alertado para a troca do QR Code Pix em lojas virtuais. O tema voltou agora com o aviso da Febraban, repercutido pela imprensa em 21 de outubro.
Por que a loja virtual vira alvo
O cliente confia no site que ele mesmo digitou. Se o checkout mostra um QR Code, ele paga. Quem invade uma loja virtual não precisa roubar cartão nem senha: basta trocar a chave Pix ou o QR Code exibido no fim da compra para receber cada pagamento.
O resultado para o lojista é triplo: venda perdida, cliente furioso e a dor de cabeça de provar que o pagamento não chegou na sua conta. Plugin desatualizado, senha fraca no painel e tema pirata são portas conhecidas para esse tipo de alteração.
A Black Friday e o Natal aumentam o risco. Com mais pedidos entrando, uma troca no checkout pode passar dias sem ser notada, e cada hora de atraso é dinheiro de cliente indo para outra conta. Por isso a conferência precisa virar rotina diária durante a temporada.
O que fazer agora, se você vende
- Confira o checkout todos os dias da temporada. Faça uma compra de teste e veja se o nome do recebedor no app do banco é o da sua empresa.
- Mostre o nome do recebedor na tela. Escreva no checkout: "o pagamento aparece em nome de [razão social]". Assim o cliente percebe a troca.
- Atualize plataforma, tema e plugins. E remova o que não usa.
- Proteja o painel da loja com senha forte e verificação em duas etapas para todos os usuários.
- Concilie os pagamentos. Pedido marcado como pago sem dinheiro na conta é sinal de alerta.
- Na loja física, confira os QR Codes impressos no começo de cada dia e prefira gerar o código na maquininha ou no sistema, na hora da venda.
O que fazer, se você paga
- Antes de confirmar, leia o nome do recebedor e o valor no app do banco.
- Desconfie de QR Code colado por cima de outro ou de boleto com dados diferentes do esperado.
- Caiu no golpe? Fale com o banco imediatamente e peça a abertura do MED, o Mecanismo Especial de Devolução do Pix. Segundo o Procon-SP, com o MED 2.0 o prazo para pedir passou de 30 para 80 dias.
- Registre boletim de ocorrência e guarde comprovantes.
Onde a Oneck entra
Na Oneck Creative, a frente de Software & Sistemas cuida de lojas virtuais e sistemas com rotina de atualização, revisão de acessos e conferência do fluxo de pagamento. Se você quer chegar à Black Friday com o checkout protegido, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Febraban: alerta sobre o golpe do QR Code falso; O Tempo (Folhapress): golpe do QR Code pode desviar pagamentos por boleto e Pix; Agência SP: Procon alerta para golpe que altera QR Code Pix.
