Em 2024, a Febraban alertou: criminosos colavam adesivos falsos de Pix sobre o QR code de parquímetros em São Paulo, redirecionando para páginas clonadas que esvaziavam contas em segundos. O phishing por QR code (“quishing”) está entre as categorias de phishing que mais crescem no Brasil, com denúncias registrando alta expressiva segundo relatórios do setor.
Por que os atacantes adoram QR codes:
- Filtros de e-mail não enxergam — gateways tratam QR codes como imagem, e a URL escondida passa pelo anti-spam.
- O falso é idêntico ao verdadeiro — não há como “pré-visualizar”.
- O usuário está em modo reflexo — escaneamos por hábito.
QR codes foram feitos para a conveniência, e os golpistas viraram isso em armadilha. Você já viveu os dois cenários abaixo.
Primeiro cenário: o cardápio falso
A mesa tem um adesivo: “Escaneie para ver o cardápio”. Escaneia sem pensar — mas esse gesto pode ter mandado seu dinheiro para um golpista. Os atacantes escolhem locais de movimento alto e ticket médio (R$ 80-200): quase ninguém reclama de uma cobrança de R$ 30.
As 5 diferenças entre o código verdadeiro e o falso:
| Detalhe | Verdadeiro | Falso |
|---|---|---|
| Impressão | Bordas nítidas, plastificado | Borrado, serrilhado, sobrepostos |
| Localização | Canto da mesa, contra-capa, balcão | Centro da mesa, braço da cadeira |
| Quantidade | Um por mesa | Vários empilhados (o real embaixo) |
| Recebedor | ”Restaurante X LTDA" | "Conta pessoal”, apelido estranho |
| Link | Curto de marca (ex.: e.ifood.com.br) | Domínio falso (pix-pagamento-xyz.top) |
Checagem de 30 segundos em 3 passos: impressão (acabado de colar? marcas de adesivo ou bolhas?); posição (bem no centro, cobrindo outro código?); recebedor (o nome parece certo? pesquise o nome completo do restaurante). Se algo estiver errado, chame o garçom: “Posso escanear o QR do cardápio de novo?”. Se o atendente enrolar, essa é a luz de alerta.
Segundo cenário: pontos de recarga e parquímetros falsos
A estação de recarga e o parquímetro são a segunda armadilha — pegam você nos seus momentos mais frágeis: bateria baixa, pressa, cabeça baixa.
3 golpes em pontos de recarga:
- Caução inflado — o caução sobe de R$ 5 para R$ 15, e o dinheiro já caiu.
- Phishing — pede para “ativar” digitando a senha do banco, do Pix ou do Mercado Pago, ou um código SMS.
- Abuso do Bluetooth — emparelha com seu celular; o atacante abre pop-ups, lê a área de transferência e, em Androids antigos, dispara mais ataques em segundo plano.
2 golpes em parquímetro:
- Adesivo sobre o código oficial — o legítimo fica numa plaquinha pequena; o golpista cola um código emoldurado no centro.
- Página de “regularizar multa pendente” — disfarçada de portal da prefeitura, pede placa, cartão e código SMS, e exibe “Veículo no cadastro de inadimplentes” para causar pânico.
A regra: só escaneie em dois casos:
- Está fisicamente integrado ao equipamento — impresso na carcaça ou gravado na tela.
- Foi aberto de dentro do aplicativo oficial (ex.: botão “Escanear para carregar”).
Adesivos, folhetos, cavaletes — não escaneie. Os 30 segundos no app oficial saem mais baratos do que as 3 horas disputando a cobrança depois.
O mnemônico universal: 3 olhares, 3 não
Em 30 segundos, essa regrinha filtra 90% das armadilhas.
3 olhares:
- Origem — quem colocou? Comércio? Órgão oficial? Desconhecido? Dá para verificar por telefone, site ou app?
- Impressão — borrado? Recém-colado? Marcas de adesivo? Lugar estranho?
- Redirecionamento — link curto de marca ou comprido? O domínio é o do serviço? Tem parâmetros sobrando (
?redirect=...)?
3 não:
- Não digite senhas em páginas desconhecidas — qualquer “ativar” ou “pagar pendência” que peça senha é golpe. Nenhum serviço sério pede “revalidar” senha numa página aleatória.
- Não instale apps de origem duvidosa — se o escaneamento diz “baixe o app”, é 99% armadilha. Pesquise o desenvolvedor antes.
- Não conceda permissão de Acessibilidade — no Android, é uma das permissões mais perigosas: o atacante lê sua tela, simula toques e age como se fosse você.
Tabela de consulta rápida (tire um print):
| Se você ver… | Faça isto agora… |
|---|---|
| QR borrado, recém-colado ou em lugar estranho | Não escaneie. Pergunte a um funcionário. |
| Recebedor que não bate com o comércio | Não pague. Confirme o nome completo. |
Redirecionamento para domínio estranho (.top, .xyz) | Feche. Não digite nada. |
| ”Digite senha / instale app / conceda permissão” | Feche. Denuncie o link. |
| Um pop-up pedindo o código de 6 dígitos do SMS | Golpe certo. Não leia em voz alta. |
| ”Sua conta foi bloqueada, fale com XX” | Tire print, feche, denuncie. |
Lembre: qualquer pessoa ou página que pedir o “código de 6 dígitos do SMS” é golpista. Esse código é a chave digital das suas contas; entregá-lo é deixar as chaves de casa no portão.
Ferramenta: use o Piick para decodificar QR codes suspeitos
Se um QR code veio de um desconhecido, adesivo ou panfleto, não abra a câmera do celular — a maioria dos apps abre o navegador automaticamente ao decodificar uma URL.
Hábito mais seguro: use o Escâner de QR Code do Piick no navegador. Envie uma imagem ou tire uma foto; o processamento é inteiramente local, sem abertura automática, sem redirecionamento, sem download. Você vê a URL completa, o texto, as credenciais WiFi ou o vCard antes de decidir. O pipeline é somente leitura: não executa instruções embutidas no código.
Já escaneou? Plano de resgate em 4 passos
Se você escaneou o código e digitou alguma informação, a primeira hora é a janela de ouro. Quanto antes cortar a rede e trocar as senhas, menor será o prejuízo.
- Corte a rede agora — desligue WiFi e dados móveis. Se o atacante já conquistou um canal de controle (como a permissão de Acessibilidade), fechar o app não basta.
- Troque as senhas — app do banco, Pix, Mercado Pago e carteiras digitais vêm primeiro. Depois e-mail, redes sociais e contas que compartilhavam senha.
- Conferir extratos e contestar — veja as últimas 24 horas no app do banco, do Mercado Pago e no histórico do Pix; conteste lançamentos suspeitos. Maioria dos bancos tem canal de contestação em até 24 h.
- Denunciar — em caso de perda financeira, ligue 190 (Polícia Militar) ou registre Boletim de Ocorrência online. Para golpes telefônicos e QR codes falsos, denuncie à Anatel e ao SaferNet Brasil (safernet.org.br).
A ordem importa: cortar a rede > trocar senhas > conferir extratos > denunciar. Não troque a ordem — primeiro você para o ataque, depois estanca o estrago, depois mede o prejuízo, por fim aciona a lei.
Reflexão final
Os QR codes não vão sumir, e os golpistas também não. Lembre-se: pause um segundo, olhe uma vez, pergunte uma vez. Pausar é se dar os “30 segundos antes de escanear”; olhar é conferir se o QR code tem sinais de alerta; perguntar é confirmar com o comércio. QR code não vence, mas seu dinheiro pode sumir em segundos.
Compartilhe com os parentes mais velhos — eles são o grupo de maior risco para o quishing. A reação de um idoso costuma ser “não conta para os filhos”, e só percebe o golpe quando o golpista volta (fingindo ser “polícia” e pedindo transferência para “desbloquear”). Mandar este post no grupo da família pode ser o melhor investimento de tempo do ano.