O QR Code virou parte do dia a dia: cardápio de restaurante, pagamento por Pix, ingresso, Wi-Fi, estacionamento. Justamente por ser tão comum, ele também virou ferramenta de golpe. Entender o que o código faz e o que verificar antes de abrir elimina a maior parte do risco.
O QR Code é perigoso?
O QR Code é apenas uma imagem que guarda um texto, quase sempre um endereço de site. Escanear não faz mal por si só. O que importa é para onde o código leva e o que a página pede depois.
Por isso o golpe mais comum não ataca o código, e sim o caminho: o criminoso cola um adesivo falso por cima do QR Code verdadeiro ou manda um código por mensagem. Quem escaneia chega a uma página que imita a original e entrega senha, dados do cartão ou dinheiro.
Golpes mais comuns com QR Code
- Adesivo sobre o código original: em mesas de restaurante, parquímetros, estacionamentos, postos, máquinas de pagamento e cartazes de lojas.
- QR Code em e-mail ou SMS: “escaneie para validar sua conta” ou “para receber seu reembolso”. É uma forma de fugir de filtros que bloqueiam links.
- QR Code de pagamento adulterado: o Pix cai na conta do golpista, e não na do estabelecimento.
- QR Code de WhatsApp Web: o golpista pede que você escaneie um código para “confirmar sua identidade” e, na verdade, conecta a sua conta ao aparelho dele.
- Falsos cartazes de vaga, sorteio ou promoção com código que leva a formulários para roubar dados.
- Wi-Fi gratuito: um código que conecta o celular a uma rede falsa, criada para espionar o tráfego.
Como escanear com segurança
- Use a câmera do celular ou o leitor do próprio aparelho. Eles mostram o endereço antes de abrir.
- Leia o endereço. Veja se o nome do site combina com o estabelecimento ou o serviço. Desconfie de endereços longos, cheios de números ou com palavras como “promo” e “pagamento”.
- Desconfie de link encurtado. Veja como investigar em link encurtado é seguro?.
- Passe o dedo sobre o código impresso. Adesivos colados por cima costumam ter borda ou relevo.
- Não digite senha nem cartão em uma página aberta por QR Code sem antes conferir o endereço.
- Não instale aplicativos que a página peça. Procure o app diretamente na loja oficial do celular.
O que o endereço revela
Ao apontar a câmera, o celular mostra um aviso com o endereço e pergunta se você quer abrir. Esse momento é a sua chance de checar. Compare o nome do site com o do estabelecimento e leia com calma: golpistas gostam de endereços parecidos, com uma letra trocada ou uma palavra extra. Se o QR Code do cardápio de uma lanchonete aponta para um site de “promoções” sem relação com ela, algo está errado.
Se você quiser ir além, use o endereço como pista: digite o nome do estabelecimento na busca ou nas redes sociais oficiais e veja se o site aparece lá. Na dúvida, não abra.
Pagando com Pix por QR Code
O Pix por QR Code é seguro quando você confere o essencial antes de confirmar:
- O app do banco mostra o nome do recebedor depois de ler o código. Compare com a loja, o restaurante ou a pessoa que está cobrando.
- Confira o valor, que deve ser o da conta.
- Em maquininhas e placas coladas no balcão, pergunte ao atendente qual é o nome que deve aparecer.
- Em cobranças recebidas por mensagem, prefira pedir a chave Pix e verificar o nome do recebedor.
Se o nome não bater, cancele a transação. Para conhecer os golpes de transferência mais frequentes, veja golpes do Pix: como se proteger.
Se você escaneou algo suspeito
- Fechou a página sem digitar nada: em geral não houve dano. Não volte a abrir o link.
- Digitou senha ou dados: troque a senha na hora e ative a verificação em duas etapas. Se foram dados de cartão, ligue para o banco e bloqueie.
- Escaneou um código de WhatsApp Web ou de aparelhos conectados: abra o WhatsApp, entre em Aparelhos conectados e desconecte tudo que você não reconhece. O caminho completo está em WhatsApp clonado ou invadido: o que fazer.
- Instalou um aplicativo: desinstale, reinicie o celular e siga os passos de como saber se o celular tem vírus.
Para quem usa QR Code no negócio
Se você tem restaurante, loja ou serviço com QR Code afixado, proteja seus clientes e sua reputação:
- Imprima o código em material difícil de cobrir, ou fixe-o dentro de um suporte.
- Confira de tempos em tempos se nenhum adesivo foi colado por cima.
- Use um endereço próprio e curto, fácil de ler abaixo do código.
- Treine a equipe para avisar o cliente de que o nome do recebedor deve ser o da empresa.
Em locais de passagem, como estacionamentos e parquímetros de rua, vale ainda mais cautela, porque ninguém está por perto para confirmar. Prefira pagar pelo aplicativo oficial da prefeitura ou da empresa responsável, que você instala por conta própria, em vez de usar um QR Code afixado em um poste ou no chão.
O hábito que mais protege é olhar o endereço antes de abrir e o nome do recebedor antes de pagar. São cinco segundos que evitam a maior parte dos golpes com QR Code.