A Federação Brasileira de Bancos (Febraban) divulgou em 20/10/2026 um alerta sobre o chamado quishing, golpe em que criminosos adulteram ou criam QR Codes falsos para desviar pagamentos para contas controladas por quadrilhas. O alerta foi repercutido pelo g1 e pela Folha no dia seguinte. A Febraban não divulgou número de vítimas nem valor de prejuízo.

O assunto ganha peso porque o Pix por QR Code virou o jeito padrão de pagar a conta no bar, na feira e no estacionamento. E, como o Pix é instantâneo, o dinheiro sai da conta na hora em que você confirma.

Como o golpe funciona

Segundo a Febraban, a fraude aparece em três lugares:

  • No balcão e na mesa: o golpista cola um adesivo com um QR Code falso por cima do verdadeiro, em bares, restaurantes, feiras, estacionamentos e outros comércios. O cliente acha que está pagando a loja, mas o dinheiro vai para a conta do criminoso. Quando o QR Code é do tipo fixo, em que o próprio cliente digita o valor, a vítima ainda digita a quantia certa e não estranha nada.
  • Em boletos impressos: o documento é adulterado e o QR Code original é trocado por outro. A Folha lembra que, mesmo dentro de um boleto, o pagamento pelo QR Code funciona como Pix, sem o prazo de compensação do boleto comum.
  • Na internet: criminosos exploram falhas em lojas virtuais para trocar o código de pagamento sem mudar o resto da página, ou criam sites falsos que imitam lojas conhecidas, muitas vezes divulgados por links em mensagens e redes sociais.

Como conferir antes de pagar

A principal orientação da Febraban é olhar a tela de confirmação do aplicativo do banco antes de apertar o botão:

  1. Nome do recebedor: ele precisa bater com o nome da loja (razão social ou nome fantasia). Se aparecer o nome de uma pessoa física desconhecida ou de outra empresa, pare. Quando o app mostrar parte do CNPJ ou do CPF, compare com o que estiver na nota, no cardápio ou na comanda.
  2. Valor: confira se a quantia é a da sua conta ou compra.
  3. O próprio código: desconfie de adesivo colado por cima de outro, bordas levantadas, sinais de remendo ou QR Code em lugar estranho.
  4. Na dúvida, peça outro jeito de pagar: pedir para pagar o Pix pela maquininha do estabelecimento ou perguntar ao caixa o nome que deve aparecer no app ajuda a evitar o adesivo da mesa.
  5. Na internet: entre direto no site oficial da loja, confira o endereço e evite começar compras por links recebidos por mensagem, e-mail ou redes sociais.
  6. Pressa é sinal de alerta: a Febraban recomenda desconfiar de ofertas boas demais e de pedidos de pagamento imediato.

"Essa simples verificação pode revelar uma adulteração antes que o dinheiro seja transferido", disse ao g1 Raphael Mielle, diretor de Serviços e Segurança da Febraban.

Se os dados na tela não baterem com a loja ou a compra, não conclua o pagamento e confirme com o estabelecimento por um canal oficial.

Caí no golpe. E agora?

  • Avise o banco na hora. Peça a contestação da transação e a abertura do MED (Mecanismo Especial de Devolução), criado pelo Banco Central para casos de golpe, fraude e crime no Pix. Os bancos são obrigados a oferecer essa opção no próprio ambiente Pix do aplicativo, sem precisar falar com atendente para começar.
  • Prazo: o pedido pode ser feito em até 80 dias depois do Pix. Mas quanto antes, melhor: o banco do golpista pode bloquear valores que ainda estejam na conta.
  • A devolução não é garantida. O caso é analisado pelos bancos, e o dinheiro só volta se o golpe for confirmado e ainda houver saldo para recuperar.
  • Registre boletim de ocorrência e guarde comprovante, boleto, foto do adesivo, prints da página e mensagens.
  • Avise o estabelecimento, para que o código falso seja retirado.

E a operação no Rio?

Em 26/10/2026, a Polícia Civil do Rio deflagrou a Operação Proxy, contra um grupo suspeito de usar a marca e a identidade visual de um banco em pontos comerciais para pegar o celular de clientes, principalmente idosos, e fazer empréstimos e transferências por Pix sem autorização, segundo O Globo. É outro tipo de golpe com Pix, sem relação informada com QR Codes adulterados. A orientação da polícia vale para os dois casos: não entregue o celular desbloqueado a desconhecidos e nunca compartilhe senhas ou códigos.

Fontes

Divergências: a operação policial no Rio de outubro (Operação Proxy, 26/10) não envolve QR Codes adulterados; trata de falso atendimento bancário. Não encontramos operação policial no Rio especificamente sobre QR Code adulterado em out/2026. A dica de pagar pela maquininha não aparece no alerta da Febraban; é orientação da redação. O prazo de 80 dias do MED conta a partir do Pix original; o prazo que mudou em 1º/9/2026 (de 30 para 80 dias) é outro, o de contestar uma devolução feita indevidamente.