Tempo de leitura: 14 min · Publicado em 05/09/2026
Em regra, quem responde pelo golpe do QR Code falso é, antes de tudo, o autor da fraude, que pratica estelionato qualificado pelo uso de meio eletrônico; mas, a depender das provas reunidas em cada caso concreto, o estabelecimento que expôs o código adulterado sem qualquer cuidado mínimo e, em hipóteses mais restritas, a instituição financeira ou o provedor de pagamento também podem ser chamados a responder civilmente pelo prejuízo do consumidor.
Tudo começa com um detalhe quase imperceptível: um adesivo colado por cima do QR Code oficial de uma vaga de estacionamento, de uma mesa de restaurante, de um totem de autoatendimento ou de um balcão de comércio. O código falso é visualmente idêntico ao original, mas redireciona o pagamento feito pelo cliente para uma conta usada pelo golpista para dispersar o dinheiro em poucos minutos. A seguir, explicamos como esse esquema — conhecido como quishing, mistura de “QR Code” com “phishing” — funciona na prática, o que diz a lei penal sobre a conduta, em que situações o estabelecimento pode ser responsabilizado, qual o papel do banco ou da instituição de pagamento diante de um Pix desviado e quais cuidados reduzem o risco de cair nesse tipo de armadilha.
Como funciona o golpe do QR Code falso (quishing)
A mecânica do golpe é simples, e é justamente essa simplicidade que o torna tão eficiente. O criminoso imprime um adesivo com um QR Code fraudulento e o sobrepõe ao código legítimo, exposto ao público sem qualquer proteção física. Os ambientes mais visados costumam ser:
- Estacionamentos e parquímetros, onde o motorista escaneia o código para pagar a tarifa sem passar por um atendente;
- Restaurantes e bares, em totens de autoatendimento ou em códigos fixados nas mesas para acesso ao cardápio ou pagamento da conta;
- Comércios em geral, em balcões, vitrines e caixas registradoras;
- Pontos de doação em eventos, feiras, igrejas e campanhas beneficentes, onde a confiança do doador tende a ser ainda maior e a conferência do código, menor.
Ao escanear o adesivo falso, a vítima costuma ser levada a uma tela de pagamento Pix que aparenta ser legítima — em alguns casos, exibindo até o nome fantasia do estabelecimento, previamente pesquisado pelo golpista — mas o valor é, na realidade, direcionado a uma conta de terceiro usada apenas para receber e repassar recursos de origem ilícita, o que dificulta o rastreamento. Em variantes mais sofisticadas, o código leva a um site clonado que captura senhas e dados bancários, ou induz a instalação de um aplicativo malicioso no celular da vítima — um padrão de mimetismo visual parecido com o que aparece em golpes que reproduzem perfis falsos de empresas e bancos em redes sociais. Na maioria dos casos, a vítima só percebe o problema quando o estabelecimento cobra o pagamento outra vez, por não ter recebido o valor em sua própria conta.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
O golpe do QR Code falso é crime? O enquadramento penal do quishing
A conduta do golpista se enquadra no crime de estelionato, que pune quem obtém vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro por meio de artifício, ardil ou qualquer outro meio fraudulento. Na forma simples, a pena prevista é reclusão de um a cinco anos e multa.
Como o golpe do QR Code se vale de meio eletrônico para induzir a vítima em erro, aplica-se a forma qualificada incluída no Código Penal por uma reforma de 2021 voltada especificamente a fraudes eletrônicas: quando o estelionato é cometido por dispositivo eletrônico ou informático — inclusive mediante redes sociais, contatos telefônicos ou mensagens fraudulentas —, a pena passa a ser de reclusão de quatro a oito anos e multa. Essa mesma reforma acrescentou ao Código Penal, sem alterar a redação nem a pena do estelionato simples, a previsão de que a pena pode ser aumentada de um terço até o dobro quando o crime é cometido contra pessoa idosa ou vulnerável, considerada a gravidade do resultado para a vítima.
Na prática, porém, a responsabilização penal do golpista costuma esbarrar em um obstáculo relevante: o autor age de forma anônima e distribui o valor recebido rapidamente entre diversas contas de terceiros, o que torna sua identificação e o efetivo ressarcimento da vítima bastante difíceis — um problema semelhante ao que aparece em fraudes que exploram o agendamento de transferências, como no golpe do Pix agendado. Por isso, na maior parte dos casos, a via cível — direcionada ao estabelecimento, à instituição financeira ou a ambos, conforme as provas de cada situação — tende a ser o caminho mais efetivo para tentar recompor o prejuízo.
O estabelecimento comercial pode responder pelo prejuízo do cliente?
Um dos pontos mais discutidos é se o estacionamento, o restaurante ou o comércio que expôs o QR Code adulterado, sem perceber a fraude, pode ser responsabilizado pelo prejuízo do consumidor que acabou pagando para a conta errada.
O Código de Defesa do Consumidor oferece fundamento relevante para essa discussão. A lei prevê que o fornecedor de serviços responde, independentemente da existência de culpa, pelos danos causados por defeitos na prestação do serviço, sendo considerado defeituoso aquele que não oferece a segurança que o consumidor dele poderia esperar; há também previsão específica para os vícios que tornam o serviço impróprio à finalidade a que se destina. Com base nesses dispositivos, argumenta-se que, ao adotar o QR Code como meio de cobrança em ambiente de acesso público, o estabelecimento assume o dever de zelar minimamente pela integridade desse instrumento de pagamento — por exemplo, verificando periodicamente se o código não foi adulterado, fixando-o de forma que dificulte a sobreposição de adesivos ou adotando QR Codes dinâmicos, gerados a cada transação.
Esse entendimento, no entanto, não é automático nem pacífico. Discute-se também se a ação do golpista não configuraria fato de terceiro apto a romper o nexo de causalidade e afastar a responsabilidade do comerciante — sobretudo quando o próprio estabelecimento também é vítima do esquema, por deixar de receber o pagamento, e não dispunha de meios razoáveis para perceber a fraude a tempo. A definição depende de prova concreta: imagens de câmeras de segurança, histórico de reclamações anteriores no local, tempo em que o adesivo falso permaneceu exposto e eventual omissão do estabelecimento em fiscalizar um instrumento de cobrança que ele próprio escolheu adotar. É uma lógica de responsabilização parecida com a que se discute quando uma plataforma de anúncios permite a publicação de um anúncio falso de aluguel de temporada: o intermediário nem sempre responde automaticamente pela fraude de um terceiro, mas pode responder se ficar demonstrado que falhou em um dever de cuidado que lhe cabia.
E o banco ou a instituição de pagamento respondem pelo Pix desviado?
Quanto às instituições financeiras e aos provedores de serviço de pagamento, a regra geral é que a instituição não é automaticamente obrigada a reverter um Pix realizado pelo próprio consumidor de forma voluntária, ainda que ele tenha sido induzido em erro pela fraude de um terceiro. Isso porque, tecnicamente, a ordem de pagamento foi emitida pelo titular da conta, sem que tenha havido, necessariamente, falha do próprio sistema bancário.
Isso não significa que a vítima fique sem qualquer caminho. O Banco Central instituiu, como norma regulatória do arranjo Pix — e não como uma lei em sentido estrito —, o chamado Mecanismo Especial de Devolução, que permite à instituição do recebedor bloquear cautelarmente e, depois, devolver valores quando há fundada suspeita de fraude, a partir de notificação de infração registrada pela instituição do pagador. O mecanismo segue prazos regulamentares curtos, contados em horas e em poucos dias, e seu sucesso depende diretamente da rapidez com que a vítima comunica o banco e da eventual permanência dos recursos na conta de destino — o que nem sempre ocorre, dada a velocidade com que o dinheiro costuma ser pulverizado nesse tipo de golpe.
A responsabilização direta da instituição financeira, indo além do simples acionamento desse mecanismo de devolução, tende a depender de circunstâncias mais específicas — como falha comprovada nos próprios sistemas de prevenção a fraudes do banco, atraso injustificado na resposta a uma notificação de infração já registrada ou descumprimento de norma regulatória aplicável ao arranjo Pix. É um raciocínio parecido com o que se aplica a golpes em que o criminoso obtém acesso remoto ao computador da vítima, como no golpe do falso suporte técnico: o banco só costuma responder quando algo falhou do lado dele, e não pelo simples fato de a vítima ter sido enganada por um terceiro.
Como agir logo depois de perceber o golpe
A velocidade da reação da vítima costuma ser determinante para as chances de recuperação, ainda que parciais, do valor perdido. Alguns passos ajudam a preservar tanto o dinheiro quanto a prova do que aconteceu:
- Comunique o banco ou a instituição de pagamento imediatamente, relatando a suspeita de fraude para tentar acionar o bloqueio cautelar dos valores;
- Registre boletim de ocorrência descrevendo o local, a data, o valor e, se possível, uma foto do adesivo falso ainda exposto;
- Guarde o comprovante da transação e capturas de tela da página de pagamento exibida no momento do golpe;
- Informe o estabelecimento sobre o QR Code adulterado, para que ele também tome providências e, se for o caso, preserve as imagens de suas câmeras de segurança;
- Avalie buscar orientação jurídica para identificar as vias de responsabilização cabíveis, de forma parecida com o que se recomenda diante de outros golpes praticados por terceiros não identificados, como o golpe do falso entregador.
Cuidados práticos para não cair no golpe do QR Code falso
Algumas atitudes simples reduzem de forma significativa o risco de ser vítima desse golpe:
- Antes de escanear, observe se o adesivo está sobreposto a outro, com bolhas, desalinhamento ou cola aparente nas bordas;
- Sempre que possível, confirme com o funcionário do estabelecimento o nome do recebedor exibido na tela antes de concluir o pagamento;
- Desconfie de QR Codes fixados em locais com pouca ou nenhuma supervisão, como parquímetros e totens isolados;
- Evite pagamentos feitos sob pressão de fila ou de urgência, momento em que a atenção ao detalhe costuma diminuir;
- Quando disponível, prefira solicitar a chave Pix ou o código diretamente ao atendente, em vez de escanear um adesivo já fixado no ambiente;
- Guarde o comprovante de cada pagamento por QR Code por um tempo razoável, especialmente em estabelecimentos que você frequenta com regularidade.
Perguntas frequentes
O golpe do QR Code falso é crime mesmo quando o valor desviado é pequeno?
Sim, o enquadramento como estelionato não depende do valor da vantagem obtida pelo golpista; o valor pode, no entanto, influenciar a análise de eventual dano moral e o interesse prático da vítima em buscar reparação pela via judicial.
Se o Pix caiu na conta errada, o cliente precisa pagar de novo ao estabelecimento?
Em regra, sim, porque o estabelecimento não recebeu o valor da compra ou do serviço prestado. A discussão jurídica está, justamente, em quem deve arcar com esse segundo pagamento ou compensar o prejuízo: o próprio cliente, o estabelecimento — que pode ter de indenizar quando comprovada falha na fiscalização do QR Code — ou uma combinação das duas coisas, a depender das provas de cada caso.
O banco é obrigado a devolver o dinheiro do Pix desviado pelo golpe?
Não de forma automática. A devolução pelo Mecanismo Especial de Devolução depende de fundada suspeita de fraude, de comunicação rápida ao banco e da permanência dos valores na conta de destino; quando os recursos já foram integralmente repassados a terceiros, a recuperação se torna mais difícil.
O estabelecimento pode ser responsabilizado mesmo sendo também vítima do golpe?
Pode, a depender da prova de que havia um dever mínimo de fiscalização do QR Code que não foi observado. Mas o fato de o comerciante também ter sofrido prejuízo, por não ter recebido o pagamento, é um elemento relevante que pode ser usado em sua defesa, sobretudo quando não havia como perceber a fraude com os cuidados normalmente exigíveis.
QR Code dinâmico, gerado a cada transação, elimina o risco desse golpe?
Reduz bastante o risco, porque dificulta a simples sobreposição de um adesivo fixo, mas não elimina por completo a possibilidade de fraude, já que o golpista pode buscar outras formas de induzir a vítima a escanear um código diferente do gerado pelo sistema oficial.
Além do prejuízo financeiro, cabe indenização por dano moral nesse tipo de golpe?
Depende das circunstâncias do caso. O prejuízo financeiro, isoladamente, tende a ser tratado como dano material; o dano moral costuma exigir a demonstração de abalo que vá além do mero aborrecimento, como exposição, constrangimento perante terceiros ou repetição da falha pelo mesmo estabelecimento.
Como reunir provas para sustentar um pedido de reparação
Diante da dificuldade de identificar e responsabilizar o autor do golpe, a força de um eventual pedido de reparação contra o estabelecimento ou a instituição financeira depende, sobretudo, da qualidade da prova reunida logo após o ocorrido. Fotos do adesivo — quando ainda é possível registrá-lo antes de sua remoção —, comprovante de pagamento, capturas de tela da transação, boletim de ocorrência e eventual resposta do estabelecimento ou do banco à reclamação da vítima formam o conjunto que costuma sustentar a discussão sobre quem deve arcar com o prejuízo.
Também é útil verificar se o local já havia registrado outras reclamações semelhantes, o que pode indicar omissão continuada na fiscalização do QR Code, e anotar, com data e horário, cada contato feito com o banco ou com o estabelecimento — esse tipo de registro costuma pesar na análise de quem tinha, ou não, meios razoáveis de evitar a fraude.
Como a definição de responsabilidade nesses casos depende diretamente das circunstâncias específicas de cada golpe, avaliar os documentos disponíveis com apoio jurídico antes de formalizar qualquer reclamação ou ação tende a evitar desgaste desnecessário e a direcionar melhor o pedido de reparação.
Leia também
Golpe do Boleto Falso de Condomínio Enviado por E-mail: Quem Responde pelo Pagamento Feito ao GolpistaUm paralelo direto de responsabilidade: quando o pagamento sai da vítima e vai parar na conta de um golpista, quem responde pelo prejuízo.Ler o guia →
Golpe da Falsa Multa de Trânsito por SMS ou WhatsApp: Phishing com Link Malicioso e Responsabilidade do BancoMais um golpe de phishing que usa um link ou código falso para induzir a vítima ao erro, com a mesma discussão sobre o papel do banco.Ler o guia →
