Pix por QR Code no Brasil: confira o recebedor antes de pagar

Um código QR pode estar no balcão certo e, ainda assim, encaminhar o pagamento para a pessoa errada. Um alerta publicado pela Federação Brasileira de Bancos em 21 de outubro descreve a substituição de códigos em lojas, páginas de compras e boletos. Para quem usa Pix no Brasil, a verificação decisiva acontece depois da leitura: conferir no aplicativo do banco quem vai receber e qual é o valor, antes de autorizar.

O problema não exige que o consumidor reconheça um código falso olhando para os quadrados. O desenho pode funcionar normalmente e transportar dados de outro destinatário. A lição prática é separar três momentos que a pressa costuma juntar: ler o código, verificar o resultado e confirmar a operação. O primeiro não deve substituir os outros dois.

O que o alerta descreve

Segundo a reportagem, que cita orientações da Febraban, criminosos podem colar um adesivo sobre o código legítimo num estabelecimento. A pessoa vê o suporte habitual, faz a leitura e acredita estar pagando ao comerciante. A alteração também pode ocorrer num boleto impresso com QR Code, sem que o restante documento deixe de parecer convincente.

Na internet, a entidade descreve códigos de pagamento substituídos em páginas de compras e sites falsos que imitam lojas conhecidas. São situações diferentes, mas com a mesma consequência possível: a aparência da compra inspira confiança enquanto os dados de pagamento apontam para outro recebedor. O alerta não demonstra que todos os códigos de uma marca, setor ou cidade estejam comprometidos.

A notícia usa o termo quishing para essa fraude com códigos QR. O nome é menos importante do que o mecanismo. Um código é uma forma de transportar informação, não um certificado de identidade do estabelecimento. Conseguir fazer a leitura sem erro não prova que a cobrança seja legítima.

A tela seguinte merece mais atenção que o desenho

A recomendação central da Febraban é verificar o nome do recebedor e o valor no aplicativo da instituição financeira antes de confirmar. O NIC.br, na iniciativa Cidadão na Rede, também orienta a usar o aplicativo oficial do banco e conferir os dados do destinatário antes de transferir. São verificações do resultado, não tentativas de decifrar visualmente o código.

O valor correto, sozinho, não resolve a dúvida: uma cobrança pode pedir exatamente a quantia esperada e indicar outra pessoa. Da mesma forma, reconhecer um nome não dispensa conferir quanto será enviado. A comparação deve relacionar os dados apresentados com aquela compra concreta, em vez de procurar apenas um elemento familiar para avançar.

Se o nome não for o esperado, pare e esclareça com o estabelecimento por um canal conhecido. A divergência é motivo para verificar, não prova automática de crime. O passo seguro não é aceitar uma explicação apressada de um desconhecido nem concluir a operação para depois resolver. É obter uma confirmação independente antes de autorizar.

No balcão, procure a sobreposição, sem confiar só nela

A Febraban recomenda observar sinais de alteração, como adesivos sobrepostos. Uma borda levantada, uma camada acrescentada ou uma impressão diferente justificam perguntar ao responsável pelo atendimento. Não é necessário arrancar etiquetas nem manipular equipamentos de terceiros para fazer essa verificação.

O cuidado tem um limite importante: não encontrar uma alteração visível não comprova a autenticidade. O código pode ter sido substituído de forma discreta, ou o problema pode estar numa página digital. A inspeção do suporte é uma etapa adicional. Os dados exibidos no aplicativo continuam a precisar de conferência, mesmo quando o cartão de balcão parece intacto.

Na compra online, confirme também como chegou à página

A orientação relatada pelo g1 é usar sites oficiais, conferir o endereço e evitar iniciar compras por links recebidos em mensagens, e-mails ou redes sociais. O CERT.br acrescenta, na sua cartilha sobre banco via internet, que páginas e perfis falsos podem ser promovidos por anúncios. Estar diante de uma página bem apresentada não basta para confirmar quem a controla.

Para acessar a instituição financeira, a cartilha recomenda digitar o endereço oficial no navegador ou usar um favorito previamente guardado. Também orienta a instalar aplicativos apenas pelas lojas oficiais e verificar o nome do aplicativo e do desenvolvedor. Um pedido para instalar outra aplicação ou enviar códigos de verificação deve interromper a sequência habitual da compra, não acelerá-la.

Nem toda leitura de QR abre uma transferência: pode abrir uma página. Nesse caso, confirme o destino antes de fornecer dados ou seguir instruções. A distinção evita tratar qualquer resultado da câmera como se já tivesse sido validado pelo banco. A origem do link e a identidade de quem cobra são perguntas separadas.

Se a operação já foi concluída

O CERT.br recomenda acompanhar notificações e extratos e contestar rapidamente transações irregulares. Procure a instituição pelos canais oficiais, explique o que ocorreu e siga as orientações para registrar o caso. Guarde o comprovante e as informações da compra que possam ajudar nessa comunicação, sem publicar dados pessoais ou bancários em redes sociais.

Não conte com uma devolução automática: a própria cartilha ressalva que dinheiro perdido em fraudes nem sempre pode ser recuperado. Este alerta trata do contexto brasileiro e do Pix; não estabelece regras de reembolso para Portugal ou outros países lusófonos. O hábito transferível é simples: o código facilita a entrada dos dados, mas a decisão de pagar exige conferir o destino antes da confirmação.